입력 : 2013-03-21 10:36:09
3월 20일 14시경 특정 방송사와 금융사 전산망에 장애가 발생했다. 이번 장애는 업무 장애를 불러올 만큼 규모가 컸다. 원인은 악성 코드인 것으로 밝혀졌다. 이에 대해 안랩은 업데이트 서버 해킹이 아니라는 중간 분석 결과를 발표했다.
안랩은 “전산망을 마비시키는 데 사용한 악성코드 유포에는 외부 IDC에 위치한 업데이트 서버가 아닌 기업의 내부망의 자산 관리 서버가 이용된 것으로 확인했다”고 말했다. 업데이트 서버는 통상적으로 SK브로드밴드나 KT, LG유플러스 같은 외부망의 IDC에 있는 업데이트 서버를 통칭하는 말이며, 자산 관리 서버는 기업의 내부망에서 최신 SW로 유지되는지 중앙에서 관리하는 서버를 말한다.
장애를 일으킨 악성 코드는 ‘Win-Trojan/Agent.24576.JPF’로 밝혀졌다. 이 악성코드가 안랩의 통합자산관리(APC(AhnLab Policy Center)) 서버를 거쳐 APC와 연결된 PC가 이용된 것으로 확인되았다. 안랩은 공격자가 APT(Advanced Persistent Threat)에 의해 APC서버의 관리자 계정(ID,PW)을 탈취한 것으로 추정하고 있다. 자산관리서버(안랩의 경우 APC서버)의 취약점 때문은 아니라는 이야기다. 안랩은 추가 적인 정밀 조사를 통해 조속한 시일 안에 명확한 원인을 발표할 예정이다.
이번 악성코드는 PC가 부팅되는 데 필요한 영역인 MBR(Master Boot Record)를 손상한다. 이 때문에 감염된 PC는 부팅이 되지 않는다. 게다가 논리 드라이브도 손상해 PC 내 문서 등의 데이터까지 쓸 수 없게 된다. 윈도우 VISTA, 윈도우 7의 경우 모든 데이터가 손상되며, 윈도우 XP, 윈도우 2003 서버는 일부가 손상된다.
안랩은 3월 20일 오후 6시 40분부터 이 악성코드의 진단/치료용 전용백신을 제공한 한편, 기존 V3 제품군의 최신 업데이트 엔진을 제공했다. 또한 ASEC(시큐리티대응센터)과 CERT(컴퓨터침해사고대응센터)를 비롯해 전사 비상 대응 체제를 가동 중이다.
또한 안랩은 특정 타겟을 노린 APT(Advanced Persistent Threat) 공격으로 파악되나 현재 추가적으로 변종이 발견되고 있다며, 불특정 다수 즉 일반인을 대상으로 한 공격의 위험이 있으니 기업체 외에 일반 사용자들도 최신 버전으로 백신을 업데이트할 것을 권고했다.
목록
위로