[Sophos] 역습! 조지아(Georgia)를 염탐하는 동안, 그의 웹캠에 잡힌 해커 피의자

http://www.securitytrust.co.kr/bbs/view.asp?tName=tb_sophosnews&RecID=19100

역습! 조지아(Georgia)를 염탐하는 동안, 그의 웹캠에 잡힌 해커 피의자

조지아(Georgia)는 악성코드를 웹사이트에 투입하고, 비밀정보를 훔치는 스파이웨어를 설치하며 컴퓨터 네트워크를 공격한 것에 대해 러시아에 근거지를 둔 해커를 오랫동안 비난해 왔습니다. 이제 조지아 정부의 CERT(Computer Emergency Response Team)는 인터넷 공격이 러시아 보안 기관과 연관되어 있었다고 비난하고, 비밀리에 그의 컴퓨터를 해킹하고 그의 비디오 자료를 훔쳤다고 생각되는 해커에게 심지어 보복을 하였습니다. 27 페이지짜리 보고서[PDF]에서, 조지아 정부는 2011년 초에 조지아 뉴스 웹사이트가 취약점을 악용하기 위해 어떻게 해킹을 했는지, 그리고 감염된 컴퓨터를 하이재킹하고 중요한 자료를 검색했던 맬웨어를 어떻게 퍼트렸는지 설명하고 있습니다. 그 맬웨어는 워드 문서를 훔쳤을 뿐만 아니라, 스크린샷을 훔치고 나중에는 네트워크를 통해 퍼져나가도록 기능이 향상되어, 감염된 PC의 웹캠을 통해 대화내용도 엿들었습니다. CERT-Georgia 리포트에 따르면, 공격자의 지휘통제실에 대한 분석자료에서 적어도 390대 컴퓨터가 공격에 감염되었다고 밝혀졌습니다. 감염된 PC의 70%가 조지아에 기반을 두고 있고, 다른 희생 PC들은 미국, 캐나다, 우크라이나, 프랑스, 중국, 독일, 러시아에서 발견되었습니다. 조지아에서 공격 당한 컴퓨터들은 대부분 보고서에서 지적한 정부 기관과 은행, 핵심 기반시설에 속한 것들입니다. 함정을 놓은 조지아 공무원  조지아 CERT가 그 맬웨어로 자신의 PC 중 하나를 고의로 감염시켜서, 드라이브에 “조지아 나토(NATO) 협정”이란 이름의 ZIP파일을 심었는데, 그것을 꼭 해커들이 거부하지 못하고 가져가 해킹이 드러날 수 있기를 바랬습니다. 과연 해커는 그 저장된 파일을 훔쳤고 조지아 CERT가 안에 심어두었던 맬웨어가 실행되었는데, 이는 조사관들이 이제 그 해커의 컴퓨터를 컨트롤할 수 있게 되었다는 것입니다. 이것은 그의 PC 앞에서 작업 중인 용의자의 이미지를 캡쳐하게 하는 비교적 어린애들 장난처럼 되어 버렸습니다. 나는 그가 지금 그의 웹캠 덮개를 가리지 않은 것을 후회하고 있다고 장담합니다. 그 해킹 혐의자의 비디오 자료를 캡쳐하는 것 말고도, CERT 연구원들은 피의자의 컴퓨터에서 어떻게 그의 맬웨어를 이용하고 타깃을 감염시키는지에 대한 지침서를 제공하는 러시아인의 이메일 대화내용을 찾았다고 주장합니다. 더군다나, 그 해킹 피의자가 사는 지역, ISP, 이메일 주소와 다른 정보들도 입수했다고 합니다. 이상한 것은, 그 해커들이 사용한 도메인이 러시아 연방 보안국(FSB)과 밀접한 관련이 있는 러시아 총무성(Russian Ministry of Internal Affairs), 군수과(department of logistics) 소유의 모스크바에 있는 주소로 등록이 되었다는 것입니다. 더군다나, CERT-조지아에 따르면, 웹사이트들은 악명 높은 RBN(Russian Business Network)으로 링크가 된 감염된 조지아의 컴퓨터를 컨트롤 하는데 사용되었습니다. 이 해커들 재판에 회부할 것인가? 비록 조지아 정부당국이 공격에 가담한 강력한 피의자인 남자에 대한 많은 정보를 모은 것처럼 보일지라도, 모스크바 당국이 못 본체 한다면 그것은 놀라운 일이 아닐 것입니다. 조지아와 러시아간의 관계는 가장 좋은 때에도 불편하였지만, 이 남자가 정말 러시아 보안 기관과 관련되어 있다고 하면 모스크바 당국이 그에 대해 어떤 조치를 취할지는 상상하기도 어렵습니다. 여러분은 조지아 수사관들의 전체 보고서를 여기[pdf]에서 다운 받을 수 있습니다.