정부기관이나 대사관 등을 노리는 수수께끼 조직이 툴라(Turla)라는 악성코드를 이용해 도감청 활동을 해왔다는 사실이 카스퍼스키와 시만텍 등에 의해 지적되고 있다. 적어도 5년 이상 스파이 활동을 해온 이 악성코드는 위성 회선까지 이용한 것으로 밝혀졌다.

이에 따르면 정부기관과 대사관, 제약회사와 교육기관 등을 대상으로 악성코드인 윕봇(Wipbot)을 이용해 스파이 활동을 해온 이 스파이 조직이 5년 전부터 툴라라는 악성코드를 이용해 장기 모니터링 활동을 해왔다는 것. 시만텍에 따르면 공격 대상의 특징과 악성코드에 사용한 첨단 기술을 감안할 때 배후에 국가 차원으로 지원하는 그룹이 존재하는 것으로 보인다고 한다.

카스퍼스키가 밝힌 바에 따르면 툴라의 대상 지역을 보면 가장 많은 공격을 받은 곳은 카자흐스탄과 러시아 다음으로 중국과 베트남, 미국 순이다. 그 밖에도 폴란드와 우크라이나, 라트비아 등 구 동구권을 비롯해 브라질과 멕시코, 아르헨티나 등 남미, 사우디아라비아와 이란 등 중동 등 전 세계에 걸쳐 피해가 확산되고 있다.

카스퍼스키는 또 툴라에 감염된 PC에는 백도어가 들어가며 이를 통해 스파이 조직의 C&C(Command&Control) 서버에 연결, 시스템 내 모든 권한을 확보하게 된다. 이를 통해 PC에 있는 파일을 삭제하거나 외부로 전송하고 혹은 반대로 파일을 보내 실행하도록 해 피해를 발생하게 할 수도 있다.





PC 기능 자체를 빼앗아버리는 무서운 능력을 갖춘 툴라는 2가지 공격 전략을 이용해 감염된다. 하나는 공격 대상에 이메일을 보내면서 첨부한 PDF 파일을 열면 어도비 리더 등의 취약점을 노려 악성코드에 감염되도록 하는 것이다. 다른 하나는 공격 대상이 PC로 자주 보는 웹사이트를 해킹, 악성코드를 넣어서 상대방이 사이트에 접근하면 자바 공격이나 가짜 MSE(Microsoft Security Essentials) 등을 통해 악성코드에 감염되도록 하는 것이다.

카스퍼스키에 따르면 이런 악성코드에 감염된 웹사이트를 100개 이상 확인했다고 한다. 이 중에는 지방자치단체 사이트도 포함되어 있다. 또 시만텍은 이 스파이 조직이 2012년 9월 이후 적어도 84개 사이트에 침투했으며 이 중에는 정부기관과 국제기관 사이트도 다수 포함되어 있다.

툴라는 높은 기술을 이용해 공격 대상 PC에서 정보를 빼내는 악성코드지만 가장 중요한 공격 대상에 대한 공격은 위성 회선을 이용해 C&C 서버 위치 추적을 방지한 것으로 알려졌다. C&C 서버는 공격의 핵심인 만큼 C&C 서버의 물리적 위치를 확보하는 건 스파이 조직을 추적하는 데 필수다. 위성 인터넷 통신 업체는 수천km2에 달하는 범위에 걸쳐 여러 국가와 대륙을 커버하는 위성용 IP 주소를 이용한다. 그 탓에 정확한 위치 파악이 어렵다는 점을 스파이 조직이 역으로 이용하고 있는 것이다.

카스퍼스키에 따르면 툴라 악성코드를 이용한 이 조직은 아프리카 콩고와 나이지리아, 소말리아와 중동 레바논, 아랍에미리트에 할당된 위성용 IP 주소를 자주 이용한 것으로 판명됐다고 한다. 또 툴라의 코딩은 영문법 오류가 많다. 따라서 영어를 모국어로 삼지 않는 조직인 게 분명하다는 분석이다. 또 시스템이 러시아어를 의미하는 용어로 컴파일 된 점 등을 들어 스파이 조직이 러시아를 거점으로 한다는 걸 시사하고 있다. 시만텍 역시 러시아를 구체적으로 표현하지 않았지만 공격 활동이 거의 세계협정시보다 4시간 앞서 시간대 표준 업무 시간에 발생한다고 설명, 러시아 조직일 가능성을 강하게 시사하고 있다. 관련 내용은 이곳에서 확인할 수 있다.

이장혁 IT칼럼니스트  hymagic@naver.com

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>