“해킹팀 ‘고객’ 중 국정원이 해킹 가장 적극적”

각국 보안업체·해커 자료분석 활발
네덜란드 업체 “15개국 109개 IP 활용…가상서버 위장도 탁월”
중국 해커들, ‘악성코드 앱’ 자동감지 누락 등 지적
미국 보안업체, RCS 감염 확인할 수 있는 SW 무료 배포

국가정보원이 원격제어시스템(RCS)의 “가장 적극적인 사용자였다”는 분석이 나왔다.

26일 네덜란드 악성프로그램 탐지 전문 벤처기업 ‘레드삭스’(redsocksmtd.blogspot.kr)가 지난 21일 공개한 ‘이탈리아 해킹팀 유출자료 분석 보고서’를 보면, “‘5163부대’는 해킹 활동을 위해 최소한 세계 15개 나라에서 109개의 인터넷주소(IP address)를 활용한 것으로 나타났다”며 “아르시에스 이용 기관 중 가장 적극적인 사용자”라고 밝혔다. 다른 기관들의 이용 행태는 구체적으로 밝히지 않았다. 5163부대는 국정원이 해킹팀으로부터 해킹 프로그램을 구매할 때 쓴 위장 이름이다.

이 업체는 또 국정원이 자신을 위장하는 데에도 탁월한 능력을 보였다고 평가했다. 레드삭스는 “5163부대는 자신의 타깃(목표물)을 감염시키기 위해 다양한 가상사설서버(VPS)를 활용했다”며 5개 나라에 흩어져 있는 서버의 인터넷주소를 공개했다. 가상사설서버란 실제 해당 지역에 서버를 설치하지 않고 대행업체를 통해 만드는 가상의 서버를 말한다. 이를 통해 자신의 정보를 노출하지 않고 해킹한 대상의 정보를 받아올 수 있다.

한편, 중국 해커들은 온라인 커뮤니티인 ‘드롭’(translate.wooyun.io)을 통해 이번 공격에서 타깃을 감염시키기 위해 해킹팀이 만든 앱들이 구글의 플레이스토어(앱 장터)의 자동감지시스템에서 걸러지지 않았다는 점을 문제로 지적했다. 해킹팀은 유출된 자료에서 안드로이드 앱 146개에 악성코드를 심는 실험을 해 110개를 성공시켰다고 밝혔는데 이 가운데에는 애니팡2, 모두의 마블, 드래곤 플라이트 등 국내 인기 게임들이 다수 포함된 것으로 확인된 바 있다.

미국의 보안업체 ‘룩시큐리티’(www.rooksecurity.com)는 해킹팀의 원격제어시스템이 자신의 컴퓨터에 설치됐는지 확인해볼 수 있는 소프트웨어 ‘밀라노’를 만들어 무료 배포하고 있다.

권오성 기자 [e-mail]