[천지일보=최혜인 기자] 축산 농가의 악취를 측정하는 60억원 규모의 정부 시스템이 악성코드에 감염돼 4년간 ‘코인 채굴’에 쓰이는 황당한 사건이 발생해 논란이 이는 가운데 해당 악성코드를 심은 존재가 해당 분야 해외 3대 해커조직으로 꼽히는 ‘아웃로(Outlaw)’로 확인됐다. 

12일 천지일보 취재를 종합하면, 해커 출신 보안전문가 등으로 구성된 사이버 보안업체 에이아이스페라 분석팀은 최근 이 같은 사실을 밝혀냈다. 분석팀에 따르면 아웃로는 재작년부터 왕성하게 활동하는 코인 채굴 분야 3대 해킹 그룹 중 하나로 꼽힌다. 이들 외에는 팀TNT(TeamTNT)나 킹싱(Kingsing) 등의 해커조직이 있다.

아웃로가 악성코드를 심어 코인 채굴로 이용한 정부 시스템은 정부가 지난 2017년부터 5년간 국비 61억 5000만원을 들여 전국 719곳 축산 농가에 설치한 것이다. 시스템 도입 연도인 2017년 10월부터 악성코드에 감염된 점을 고려하면 이 시스템은 최대 4~5년 가까이 코인 채굴에 이용당했을 것으로 추정된다.

시스템이 악성코드에 감염된 사실은 지난 3월 국정원이 밝혀냈다. 국정원 사고 분석 보고서에 따르면, 이번 사고의 심각도가 상·중·하 중에 ‘상’으로 매겨졌다. 피해 내역으로는 채굴 프로그램 동작으로 서버에서 악성 통신이 지속적으로 발생했다고 적혀 있다.

에이아이스페라 분석팀에 따르면 악성코드, IP주소의 활동 이력과 감염 원인은 모두 OSINT(오픈 소스 인텔리전스)로 수집한 정보와 회사 자체 인텔리전스 데이터를 바탕으로 특정됐다. 이들의 범행 수법은 이스라엘 보안회사 CYE에 의해 재작년 처음 언론에 드러났다.

아웃로는 주로 공개된 취약점이나 훔친 크리덴셜로 사물인터넷 장비와 리눅스 서버들, 컨테이너를 침해한 후 모네로 코인 채굴 또는 디도스 공격 벌이는 해커 집단인 것으로 알려졌다. 암호화폐 채굴을 목적으로 클라우드의 취약한 현실을 노려 클라우드 계정을 공격하는 사이버 공격자들인 셈이다. 클라우드라는 기술을 무력화시킨 것이라기보다는 클라우드 환경의 취약한 현실을 노려 악용하는 수법을 쓴다.

업계 한 관계자는 “클라우드를 통해 작업량을 분산시켜 암호화폐 채굴을 활성화하는 것이 요즘 사이버 공격자들의 트렌드”라며 “주로 환경 설정 오류나 취약한 클라우드 인스턴스를 악용해 사이버 공격을 감행하게 된다”고 설명했다.

◆정부 서버, 어떻게 뚫렸나

분석팀은 공개 출처정보(OSINT)를 통해 확인한 IP 주소 45.9.148.99와 Outlaw가 개발한 ‘dota3.tar.gz’라는 악성코드 패키지 두가지를 기반으로 사건 분석에 들어갔다.

이들은 보안 솔루션 개발업체 트렌드마이크로의 보고서를 살펴봤는데, 트렌드마이크로가 자체 운영 중인 허니팟 중 하나에 똑같은 악성코드가 포착됐으며 정부 시스템의 사례와 동일한 점을 확인했다. 허니팟은 컴퓨터 프로그램에 침입한 스팸과 컴퓨터 바이러스, 크래커를 탐지하는 가상 컴퓨터를 말한다. 분석팀은 TripleLift라는 기업이 아웃로에 의해 똑같은 수법에 당한 사실도 확인했다. 또 이 악성코드를 이용해 20만대 이상의 서버가 추가로 감염될 수 있을 가능성을 언급하며, 사용하지 않는 포트를 닫고 주기적으로 모니터링해야 한다는 공격표면관리의 필요성을 강조했다.

해킹 그룹 아웃로가 공격하는 방식은 특정 목표를 표적으로 삼는 ‘APT 방식’이 아닌 ‘무차별 대입 공격(SSH Brute force) 방식’으로 확인됐다. 이는 비밀번호 등 인증정보를 알아내기 위해 공격자가 반복적·체계적으로 매번 다른 사용자 이름과 비밀번호를 입력하는 방식의 공격이다.

SSH는 원격지 호스트에 접속하기 위해 사용되는 프로토콜을, APT(Advanced Persistent Threat)는 ‘지능형 지속 해킹’으로 대상을 정하고 취약점이 무엇인지 오랫동안 분석한 뒤 해당 목표물에 맞는 바이러스를 제작·침투하는 방식을 말한다.

에이아이스페라 분석팀은 “정부의 축산 모니터링 시스템 해킹은 해커의 맞춤화된 APT 공격이 아닌 악성코드 공격에 사용된 45.9.148.99 IP 주소로 이곳저곳을 공격하던 중 취약한 상태로 운영되던 정부 시스템이 ‘얻어걸렸을’ 가능성이 크다”고 분석했다.

이들 분석팀에 따르면 해당 정부 서버는 지난 2017년부터 해커가 마음대로 사용할 수 있게 됐고, 3년이 지난 2020년에 채굴 흔적이 발견된 것으로 미뤄볼 때 정황상 3년 이상 채굴이 진행됐을 가능성이 크다.

구체적으로 살펴보면 악성코드에 감염된 계정이 지난 2017년 10월 5일부터 30일까지 서버에 접근한 흔적이 발견됐고, 2020년 12월 30일 침해된 IP와 코인 채굴 사이트 간 통신이 이뤄졌다. 다만 2020년 12월 30일 이전에는 관련 로그가 저장돼 있지 않아 언제부터 코인 채굴이 이뤄졌는지 정확히 파악할 수 없고, 2020년 12월 30일 이전부터 통신했을 것으로 추정된다.

◆“지금도 다수 위험노출… 보완해야”

특히 이번 해킹이 북한 해커들처럼 특정 기관을 표적으로 집중 공격하는 APT 방식이 아닌 암호를 알기 위해 가능한 모든 값을 대입하는 공격방식에 뚫렸다는 점도 우려를 더한다. 그만큼 정부 시스템의 보안체계가 허술한 상태였다는 것을 의미하기 때문이다. 이처럼 불특정 다수를 상대로 벌이는 해킹 공격에 속수무책으로 뚫렸단 점에서 추가 피해에 대한 우려도 커지고 있다.

이와 관련 고려대학교 해킹대응기술 연구실을 맡은 김휘강 교수는 “이번 공격은 OSINT 와 IP Intelligence 정보만 수집하고 차단했다면 충분히 사전 방어가 가능한 공격이었다”며 “차세대 방화벽 등에서 제공하는 채굴 시스템 탐지 기능으로도 사전 탐지가 가능했을 것”이라고 설명했다. 해킹당한 상태로 수년간 방치되기 이전에 충분히 예방 가능한 사고였다는 설명이다.

김 교수는 “전자정부는 세계적으로 인증받으며 다양한 분야에 인터넷을 활용한 업무 전환을 도입하고 있다. 이러한 전환은 필연적으로 수많은 공격 표면을 만들어내고 있으며, 외부 공격에 의한 피해 확률도 높아질 수밖에 없다”며 “이 사례뿐 아니라 지금도 수많은 정부 기관의 서버가 관리의 사각지대에 놓인 채 방치되고 있다”고 우려했다.

그러면서 “정부 기관의 장비 해킹은 단 한번의 공격으로 중요한 개인정보나 국가기밀이 누출될 수 있는 매우 민감한 사안”이라며 “해커의 공격 시도를 선제적으로 방어하는 공격 표면 관리를 완벽하게 갖춰야 한다”고 조언했다.

이와 관련해 국정원 관계자는 “사이버 정보 활동 중에 인지해 대응하게 됐다”며 코인 채굴 규모나 해킹 주체에 대해선 “자세한 내용은 보안 관계상 말해주기 어렵다”고 말했다. 이번 사고에 대해 축산환경관리원은 시스템 이중화와 백업 등 안정성을 높이고 보안 교육과 모니터링을 강화하겠다고 밝혔다.