러시아 보안 기업인 카스퍼스키랩(Kaspersky Lab)이 사내 네트워크에서 외부 침입자를 발견했다. 조사 결과 과거 핵 재처리 공장 사이버 공격에 사용된 스턱스넷(Stuxnet)과 관련이 있는 것으로 알려진 악성코드 두쿠(Duqu) 신종 버전인 두쿠 2.0이라고 한다.

지난 2010년 윈도 제로데이 취약점을 노려 지멘스 제어 시스템 데이터베이스를 노린 악성코드인 스턱스넷이 발견된 바 있다. 스턱스넷의 목적은 중요 정보를 악의적 공격자에게 보내주는 것이다. 실제로 이란 핵 재처리 공장에서 우라늄 원심분리기를 임시 통제에 빠지게 하기도 한다. 이런 스턱스넷처럼 미래 공격을 노리고 특정 조직에서 기밀 데이터와 자료를 수집하는 한편 전송하는 악성코드가 바로 두쿠다.

뚜쿠는 스턱스넷에서 파생된 것으로 간주되며 지난 2011년 가을 등장했다. 하지만 2012년 경에는 활동을 중지한 것으로 보였다. 이번 카스퍼스키랩 사내 네트워크에 대한 무단 침입을 한 두쿠2.0은 APT 공격으로 인한 것이다. 2011년 버전보다 진화한 것인 만큼 2.0으로 명명하고 주의보를 내린 것. 참고로 APT(Advanced Persistent Threat) 공격이란 특정 목적으로 특정 목표에 대해 장시간에 걸쳐 대규모 후원을 받는 체계적 집단에 의해 발생하는 새로운 형태의 보안 위협을 말한다.

두쿠2.0에 의한 공격은 2011년 두쿠로 APT 공격을 하던 그룹이 세심한 계획 하에 수행한 것으로 보이며 특정 국가가 관여된 것으로 의심된다고 한다. 카스퍼스키랩 연구 개발 부문이 보유한 지식 재산 정보를 표적으로 삼은 반면 영업이나 마케팅, 커뮤니케이션, 법무 관련 부서는 공격 대상에서 제외했다고 한다.

현재 공격에 이용된 제로데이 취약점은 마이크로소프트가 모두 패치를 공개한 상태다. 카스퍼스키 보안 소프트웨어를 이용하면 ‘HEUR : Trojan.Win32.Duqu2.gen’이라는 명칭으로 악성코드 탐지도 가능하다. 관련 내용은 이곳에서 확인할 수 있다.

이원영 IT칼럼니스트  b612@glasspad.co.kr

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>