글로벌 통합보안 기업인 안철수연구소(대표 김홍선, www.ahnlab.com, 약칭 ‘안랩’)가 최근 전세계적 사이버 공격 이슈인 ‘스턱스넷(Stuxnet)’ 악성코드에 대한 상세 분석 정보와 대책을 발표했다.
‘스턱스넷’은 최초로 산업자동화제어시스템을 겨냥해 제작된 악성코드로서 USB와 네트워크 공유 취약점 등을 이용해서 전파되어, 악성코드가 실제 사이버 전쟁에 이용되는 상황에서 한 국가의 주요 기간 시설이 공격자에게 장악될 수 있음을 보여준 사례이다.
‘스턱스넷’은 독일 지멘스사의 산업자동화제어시스템을 공격 목표로 제작된 악성코드로 원자력, 전기, 철강, 반도체, 화학 등 주요 산업 기반 시설의 제어 시스템에 침투해 오작동을 일으키는 악성코드를 입력해 시스템을 마비시킬 수 있다.
이란 부셰르 원자력핵발전소와 중국 1천여 개 주요 산업 시설을 비롯해 전세계 여러 국가에 감염이 확산된 것으로 보고되었으며, 해외 보안 업체에 따르면 전세계 PC 수십 만 대가 감염됐다. 다만 일반 PC에서는 SCADA(supervisory control and data acquisition, 감시 제어 데이터 수집 시스템)시스템에 접속할 수 없기 때문에 감염만 될 뿐 산업자동화제어시스템을 직접 동작시켜 피해를 주는 일은 없다.
우리나라는 상대적으로 원자력 발전 시설과 첨단 자동화 산업 생산 시설이 많으므로 더욱 주의와 예방이 필요하다. 이에 따라 최근 행정안전부는 국내 피해에 대비해 독일 지멘스사 제어 시스템을 사용하는 산업 시설 40여 개를 대상으로 예방 및 대응 조치를 발표했다.
안철수연구소 시큐리티대응센터의 분석에 따르면 ‘스턱스넷’은 여러 개의 파일로 구성되며, 알려지지 않은 여러 개의 취약점을 이용해서 산업자동화제어시스템을 제어하는 PC에 드롭퍼(스턱스넷의 핵심 모듈 파일을 생성하는 하는 파일)가 실행된다. 이 드롭퍼는 정상 s7otbxdx.dll 파일의 이름을 변경해 백업하고 정상 s7otbxdx.dll 파일과 동일한 이름으로 자신의 파일을 생성한다. 이후 산업자동화제어시스템을 통합 관리하는 도구(소프트웨어)인 ‘Step7’을 실행하면 원래의 정상 파일이 아닌 스턱스넷이 실행된다.
‘Step7’의 기능은 s7otbxdx.dll 파일을 통해서 제어 PC와 산업자동화제어시스템 간에 블록 파일을 교환하는 것이다. 이 파일을 Stuxnet의 DLL 파일로 바꾸면 산업자동화제어시스템을 모니터링하거나 제어(수정 또는 악성 블록 생성)할 수 있다. 이후 공격자는 모터, 컨베이어 벨트, 펌프 등의 장비를 제어하거나 심지어 폭발시킬 수도 있다.
스턱스넷이 실행되는 환경 조건은 SCADA 시스템 안에 지멘스사의 ‘Step7’이 산업자동화제어시스템 제어용 PC에 설치되어 있고, 산업자동화제어시스템 타입이 6ES7-315-2 또는 6ES7-417이고, 산업자동화제어시스템 제어 PC의 운영체제(OS)가 윈도우인 경우이다.
스턱스넷이 이용하는 취약점은 총 5개로, 이 취약점 중 3개(USB, 공유 프린터, 공유 폴더를 통해 감염)는 이미 MS에서 보안 패치를 제공하지만 2개는 아직 발표하지 않았다.
안철수연구소 조시행 연구소장은 "이번 스턱스넷은 최근 꾸준하게 보안전문가들이 제기한, 구체적인 목표를 가진 타깃형 사이버 공격이다. 악성코드가 전략적으로 이용될 가능성을 보여주는 구체적인 사례이며, 이 같은 공격은 더욱 늘어날 것으로 예상된다. 특히 SCADA 시스템과 같이 폐쇄적인 환경에서 악성코드가 감염되었을 경우 일반적인 안티바이러스로는 대응이 어려울 수밖에 없으므로, 화이트리스트(Whitelist) 기반의 전용 솔루션으로 대비하는 방안이 필요하다."라고 강조했다. |
