눈 앞 에 나타난 사회 기반 시설 공격 의 ‘ 실체 ’ 
 지난 4 월 , 여수 시내 의 한 버스 정류장 에 설치 된 버스 정보 안내 시스템 에서 약 40 여분 간 음란 동영상 이 재생 되 는 사고 가 발생 했 다 . 최근 미국 에서 도 텍사스주 의 고속도 로 전광판 이 해킹 돼 대선 후보 인 트럼프 를 조롱 하 는 문구 등 이 밤새 노출 되 었 다 . 두 사건 모두 별 다른 피해 는 없 었 지만 교통 관련 시설 이 해킹 되 었 다는 점 은 주목 할 필요 가 있 다 . 만일 교통 신호등 제어 시스템 이나 공항 , 철도 , 발전소 의 시스템 이 었 다면 ? 해외 에서 는 공항 시스템 에 대한 사이버 공격 이 발생 한 바 있 으며 , 발전소 와 댐 관련 시스템 의 해킹 사례 도 있 다 . 이 글 에서 는 국내외 주요 사회 기반 시설 공격 동향 을 살펴보 고 , 실제 사례 를 통해 사회 기반 시설 보안 의 시사점 을 알아본다 . ​ 
 사회 기반 시설 은 ‘ 기반 시설 ’, ‘ 기간 시설 ’, ‘ 사회 공공 기반 시설 ’ 등 으로 불리 며 , 사회 및 경제 활동 의 기반 을 형성 하 는 중요 시설 을 의미 한다 . 흔히 ‘ 인프라 ( Infra , Infrastructure ) ’ 라고도 부르 며 , 최근 에 는 학교 나 병원 , 공원 과 같 은 사회 복지 및 생활 환경 관련 시설 도 사회 기반 시설 로 분류 하 기 도 한다 . 
 사회 유지 에 근간 이 되 는 이 들 시설 또는 시스템 이 사이버 공격 에 피해 를 입 을 경우 , 단순히 재산 상 의 피해 에 그치 는 것 이 아니 라 사회 적 혼란 을 야기 하 거나 시민 들 의 안전 , 더 나아가 국가 안보 에 심각 한 위협 이 될 수 있 다 . 실제로 지난 2012 년 세계 적 인 석유 기업 인 사우디 아람 코 ( Saudi Aramco ) 해킹 , 2015 년 우크라 이나 정전 사태 등 은 막대 한 재산 상 의 피해 는 물론 사회 적 혼란 까지 가져왔 다 . 
 미국 국토 안 보국 ( Department of Homeland Security ) 은 사회 기반 시설 을 16 개 주요 분야 로 나누 고 , 그 중 식료 , 농업 서비스 를 제외 한 14 개 분야 에 대한 주요 보안 리스크 를 [ 표 1 ] 과 같이 분류 하 고 있 다 . 
 [ 표 1 ] 미국 국토 안 보국 의 사회 기반 시설 분류 
 국내 · 외 주요 사회 기반 시설 공격 사례 
 2000 년 대 초 에 도 특정 국가 나 사회 기반 시설 을 노린 악 성 코드 가 존재 했 다 . 지난 2001 년 7 월 발견 된 코 드레드 ( CodeRed ) 웜 으로 인해 미국 백악관 홈페이지 에 서비스 거부 ( DoS ) 공격 이 발생 했 다 . 국내 에서 는 2003 년 1 월 25 일 , 슬 래 머 ( Slammer ) 웜 에 의한 인터넷 장애 가 발생 했 다 . 이 를 ‘ 1 . 25 인터넷 대란 ’ 이 라 부른다 . 
 [ 그림 1 ] 국내외 주요 사회 기반 시설 공격 사례 
 본격 적 인 사회 기반 시설 에 대한 사이버 공격 은 2000 년 대 중반 이후 에 나타났 다 . 2007 년 4 월 27 일 , 에스토니아 ( Estonia ) 공화국 의 정부 , 언론 , 방송 , 은행 의 전산망 이 일제히 분산 서비스 거부 ( Distribute Denial of Service , 이하 DDoS ) 공격 을 받 았 다 . 이 공격 으로 대통령궁 을 비롯 해 의회 , 정부 기관 , 은행 , 이동 통신 네트워크 등 에스토니아 의 국가 시스템 전체 가 약 3 주간 마비 되 는 사태 가 발생 했 다 . 
 2008 년 6 월 에 는 조지아 ( Georgia , 러시 아명 ' 그루 지아 ') 의 정부 홈페이지 , 언론사 , 포털 사이트 등 이 대 규모 DDoS 공격 을 받 았 다 . 평균 2 시간 15 분 , 최장 6 시간 동안 공격 이 지속 되 었 으며 , 사흘 간 이어진 공격 으로 금융 시스템 장애 가 발생 하 는 등 사회 가 마비 되 었 다 . 
 2010 년 부터 는 단순 한 서비스 장애 유발 이 아닌 사회 기반 시설 에 대한 직접 적 인 공격 이 발생 한다 . 가장 대표 적 인 사례 는 2010 년 6 월 발견 된 스턱스넷 ( Stuxnet ) 이 다 . 스턱스넷 은 지멘스 ( SIEMENS ) 사 의 산업 자동 화 제 어 시스템 ( PCS 7 ) 을 타깃 으로 하 는 악 성 코드 로 , 2010 년 9 월 이란 의 원자력 발전소 마비 사태 의 주범 으로 알려졌 다 . 
 에너지 분야 를 노린 사이버 공격 의 또 다른 사례 로 는 2012 년 사우디 에서 발생 한 사우디 아람 코 ( Saudi Aramco ) 해킹 이 있 다 . 같 은 해 8 월 27 일 에 는 카타르 ( Qatari ) 천연가스 기업 인 라스 가스 ( RasGas ) 도 사이버 공격 을 당했 다는 사실 이 언론 을 통해 알려졌 다 . 이후 2015 년 우크라이나 에서 는 발전소 해킹 에 의한 대 규모 정전 사태 가 발생 하 기 도 했 다 . 
 우크라 이나 정전 사태 와 같이 최근 에 는 교통 및 항공 시설 , 전력 시설 을 노린 사이버 공격 으로 인해 일반 시민 들 이 생활 에 불편 을 겪 거나 심각 한 피해 를 입 고 있 다 . 최근 국내 에서 발생 한 사고 와 유사 한 일 이 브라질 에서 도 발생 한 바 있 다 . 브라질 의 버스 정류장 안내 시스템 이 해킹 되 어 약 15 분 간 음란 동영상 이 노출 된 것 이 다 . 항공 시설 과 관련 해서 는 지난 2015 년 6 월 폴란드 공항 이 DDoS 공격 을 당해 비행 계획 시스템 이 5 시간 동안 마비 되 었 으며 , 약 1400 여 명 의 승객 이 공항 에서 발 이 묶인 사건 도 있 다 . 
 [ 그림 2 ] 해킹 된 브라질 버스 안내 시스템 ( * 출처 : SecurityWeek ) 
 이 밖 에 도 프랑스 방송사 떼 베 생 몽드 ( TV 5 Monde ) 해킹 및 방송 송출 장애 , 이스라엘 방송국 해킹 , 지난 2013 년 국내 주요 은행 및 방송국 을 노린 3 • 20 전산망 마비 , 최근 발생 한 방글라데시 중앙은행 해킹 , 미국 뉴욕 댐 전산망 해킹 , 미국 내 다수 병원 의 랜섬 웨어 감염 등 사회 기반 시설 을 노리 는 공격 들 이 다 방면 에서 지속 적 으로 발생 하 고 있 다 . 
 사회 기반 시설 공격 에 사용 된 악 성 코드 의 실체 
 앞서 언급 한 사례 중 우크라 이나 발전소 해킹 과 정유 회사 사우디 아람 코 해킹 사례 를 중심 으로 실제 사회 기반 시설 공격 에 사용 된 악 성 코드 와 공격 방식 에 대해 알아보 자 . 
 1 . 우크라 이나 발전소 해킹 
 지난 2015 년 12 월 23 일 , 우크라이나 의 키보 브레네 르고 ( Kyivoblenergo ) 발전소 에 문제 가 발생 해 이날 오후 3 시 35 분 부터 3 시간 동안 약 8 만 가구 에 전력 공급 이 중단 됐 다 . 또한 우크라 이나 서부 지역 의 프리 카르파티 아오 블 레네 르고 ( Prykarpattyaoblenergo ) 발전소 에서 도 문제 가 발생 해 주변 지역 에 대 규모 정전 사태 가 발생 했 던 것 으로 알려졌 다 . 전화 시스템 에 도 장애 가 발생 해 전화 통화 도 정상 적 으로 이루어지 지 않 았 다 . 정전 직후 언론 과 우크라 이나 정보 부 ( Security Service of Ukraine ) 는 사이버 공격 의 가능 성 을 언급 했 다 . 
 우크라이나 의 정전 이 사이버 공격 에 의해 발생 했 다는 정황 이 계속 나타남 에 따라 미국 정부 도 관련 조사 에 착수 했 다 . 지난 2016 년 1 월 , 미국 국토 안 보국 은 우크라 이나 정전 사태 의 원인 이 사이버 공격 으로 드러났 다고 발표 했으며 , 3 월 18 일 에 는 관련 분석 보고서 가 추가 로 공개 됐 다 . 이 보고서 에 따르 면 , 공격자 는 이미 6 개월 전 부터 발전소 내부 시스템 에 침입 해 관련 정보 를 수집 하 고 악의 적 인 펌웨어 ( Firmware ) 를 개발 하 는 등 철저 한 준비 후 공격 을 수행 한 것 으로 보인다 . 
 이 와 관련 해 SANS ICS 팀 과 해외 보안 업체 이 셋 ( Eset ) 은 우크라 이나 정전 사태 와 블랙 에너지 ( BlackEnergy ) 악 성 코드 가 밀접 한 관계 가 있 다고 발표 했 다 . 한편 우크라 이나 정전 사건 이 발생 하 기 한 달 전 인 2015 년 11 월 , 우크라 이나 사이버 침해 대응 센터 ( CERT , Computer Emergency Response Team ) 는 우크라 이나 선거 기간 동안 언론사 를 공격 한 블랙 에너지 악 성 코드 에 관해 언급 한 바 있 다 . 따라서 우크라이나 에 대한 블랙 에너지 공격 은 정전 사태 이전 부터 진행 되 었 음 을 예상 할 수 있 다 . 
 블랙 에너지 는 다양 한 변화 를 겪 어 온 악 성 코드 이 다 . 2007 년 DDoS 공격 에 처음 이용 되 었 으며 , 2008 년 조지아 ( Georgia ) 공격 에 도 사용 되 었 던 것 으로 알려졌 다 . 드라이버 파일 로 구성 되 어 있 다는 것 이 특징 이 며 , 현재 에 도 꾸준히 변형 이 나타나 고 있 다 . 
 우크라 이나 발전소 를 공격 한 것 으로 알려져 있 는 블랙 에너지 악 성 코드 는 악성 코드 를 떨어뜨리 는 드롭 퍼와 실제 악성 행위 를 수행 하 는 난독 화 된 드라이버 파일 로 구성 되 어 있 으며 , FONTCACHE . DAT 등 의 파일 이 생성 된다 . 
 또한 해당 공격 에서 공격자 는 악성 매크로 를 포함 한 엑셀 파일 을 이용 한 것 으로 알려졌 다 . 문서 를 열 어 본 사용 자 가 보안 경고 메시지 의 ‘ 콘텐츠 사용 ’ 을 선택 하 면 매크로 가 실행 된다 . 매크로 가 실행 되 면 % temp % 폴더 에 vba _ macro . exe 파일 이 생성 된다 . 
 [ 그림 3 ] 우크라 이나 발전소 공격 에 사용 된 엑셀 파일 의 매크로 기능 
 이렇게 생성 된 vba _ macro . exe 가 실행 되 면 FONTCACHE . DAT 파일 이 시스템 에 생성 된다 . 이 파일 은 윈도우 패킷 캡쳐 프로그램 인 WinPcap 와 관련 된 파일 로 위장 하 고 있 다 . 내부 문자열 또한 Winpcap 관련 파일 처럼 가장 하 고 있 다 . 
 [ 그림 4 ] Winpcap 관련 파일 로 위장 
 익스 포트 ( export ) 함수 도 모두 정상 프로그램 처럼 되 어 있 지만 , PacketAllocatePacket 코드 가 실행 되 면 암호 를 풀 면서 실행 되 며 플러그인 파일 을 다운로드 하 여 추가 적 인 기능 을 수행 한다 . 
 2 . 사우디 아람 코 ( Saudi Aramco ) 해킹 
 지난 2012 년 8 월 15 일 , 세계 최대 규모 의 석유 기업 중 하나 인 사우디 아람 코 ( Saudi Aramco ) 가 사이버 공격 으로 약 3 만 대 의 시스템 에 장애 가 발생 하 는 피해 를 입 었 다 . 같 은 날 , 자신 들 을 ‘ 정의 의 검 ( Cutting Sword of Justice ) ’ 이라고 자칭 하 는 단체 가 아람 코 해킹 이 자신 들 의 소행 이 라고 주장 했 다 . 
 [ 그림 5 ] 아람 코 해킹 에 관한 ‘ 정의 의 검 ( Cutting Sword of Justice ) ’ 의 주장 
 사우디 아람 코 해킹 에 사용 된 악 성 코드 는 ' 샤 문 ( Shamoon ) ' 또는 ' 디스 트 트랙 ( Disttrack ) ' 등 으로 불리 며 , 사전 에 내부 시스템 을 파악 하 고 데이터 를 삭제 하 기 위해 제작 된 악 성 코드 이 다 . 공격자 가 어떻게 내부 시스템 에 침입 했 는지 는 아직 알려 지 지 않 았 다 . 
 [ 그림 6 ] 샤 문 ( Shamoon ) 악 성 코드 구조 
 샤 문 악 성 코드 의 구조 는 [ 그림 6 ] 과 같 다 . 드롭 퍼 ( Dropper ) 는 하드 디스크 파괴 악 성 코드 를 시스템 에 떨어뜨리 는 역할 을 하 며 , 데이터 삭제 기능 과 보고 기능 만 가지 고 있 다 . 파일 속성 정보 를 살펴보 면 ‘ Distributed Link Tracking Server ’ 라는 설명 과 함께 마이크 로 소프트 에서 제작 한 파일 로 가장 하 고 있 다 . 
 [ 그림 7 ] 샤 문 악 성 코드 의 드롭 퍼 등록 정보 
 데이터 파괴 파일 은 ‘ C : \ Shamoon \ ArabianGulf \ wiper \ release \ wuper . pdb ’ 와 같 은 PDB 정보 를 가지 고 있 다 . ‘ ArabianGulf ’ 와 같 은 문자열 을 통해 명확 한 공격 대상 을 가진 악 성 코드 임 을 짐작 할 수 있 다 . 
 [ 그림 8 ] PDB 정보 내 의 특징 적 인 문자열 
 데이터 삭제 파일 이 실행 되 면 드라이버 파일 ( drdisk . sys ) 을 생성 하 고 파일 목록 을 얻 는다 . 이후 시스템 에 존재 하 는 파일 을 JPEG 이미지 로 덮 어 쓴다 . 끝 으로 하드 디스크 MBR 을 덮 어 써 시스템 을 사용 할 수 없 게 하 고 ‘ shutdown - r - f - t 2 ’ 로 종료 시킨다 . 한편 , 이 악 성 코드 는 피해 시스템 수 등 을 보 고 하 는 기능 도 갖 고 있 다 . 
 사회 기반 시설 보안 에 관한 제언 
 지난해 말 , 안랩 을 비롯 한 국내외 보안 업체 들 은 2016 년 에 발생 할 수 있 는 보안 위협 중 하나 로 사이버 테러 및 국가 기반 시설 보안 위협 을 꼽 은 바 있 다 . 그리고 2016 년 초 부터 방글라데시 중앙은행 의 해킹 , 국내 버스 정류장 안내 시스템 해킹 등 이 발생 했 다 . 
 사회 기반 시설 은 사회 의 근간 을 이루 는 중요 한 시설 인 만큼 강력 한 보안 이 동반 되 어야 한다는 것 은 두말 할 필요 도 없 다 . 그러나 실제로 는 보안 인력 이 부족 한 경우 나 내부 보안 인력 의 전문 성 이 부족 한 경우 가 있 다 . 또는 , 시설 의 시스템 자체 가 적절 한 보안 이 고려 되 지 않 은 채 설계 되 었 거나 보안 에 취약 한 구형 시스템 으로 운영 되 는 경우 도 있 다 . 
 외부 공격 으로부터 사회 기반 시설 을 안 전하 게 보호 하 기 위해서 는 우선 구성원 들 이 준수 할 수 있 는 현실 성 있 는 보안 정책 을 수립 해야 한다 . 이 와 함께 적절 한 보안 시스템 을 구축 해 내부 로 유입 되 는 위협 을 모니터링 및 차단 하 고 내부 에서 확산 되 는 위협 을 분석 및 대응 할 수 있 어야 한다 . 일반 적 으로 악성 코드 의 내부 시스템 침입 부터 시스템 파괴 등 악의 적 인 결과 를 가져오 기 까지 는 어느 정도 의 시간 이 소요 된다 . 수많 은 내부 시스템 을 파악 하 고 하나 씩 장악 해야 하 기 때문 에 보통 6 개월 정도 가 걸린다 . 따라서 공격 에 의한 피해 가 발생 하 는 것 을 방지 하 기 위해서 는 주요 시스템 에 대한 정기 점검 을 통해 이상 징후 를 빨리 파악 할 수 있 어야 한다 . 이 를 위해 전문 성 을 가진 인력 의 양성 과 활용 이 필요 하 다 . 또한 협력 업체 에 대한 강력 한 보안 방안 을 마련 해야 한다 . 공격자 들 은 침입 이 까다로운 사회 기반 시설 을 직접 적 으로 공격 하 는 대신 협력 업체 를 해킹 하 는 등 의 우회 공격 을 시도 할 수 있 기 때문 이 다 . 
 한편 , 사회 기반 시설 공격 동향 에 관한 보다 상세 한 내용 은 안랩 시큐리티 대응 센터 분석 팀 에서 발표 한 ' 사회 기반 시설 공격 분석 보고서 ' 에서 확인 할 수 있 다 . ​ 
 ▶ ' 사회 기반 시설 공격 동향 분석 보고서 ' 전문 보 기 
 - Data breach digest . 
 - Analysis of the Cyber Attack on the Ukrainian Power Grid 
 - 도시 철도 안전 및 유지관리 실태 감사 결과 ​ 
 - 감사원 , ' 국가 사이버 안전 관리 실태 ' 
 - 강은성 , ‘ 망 분리 는 만병통치약 인가 ? ’ 
 - 미국 국토 안 보국 ' Sector Risk Snapshots ’ 
 - http : / / www . securityweek . com / hackers - broadcast - porn - tv - screens - brazil - bus - depot 
 - http : / / africanspotlight . com / 2015 / 08 / 08 / hackers - broadcast - porn - on - tv - screens - at - brazil - bus - station - photos 
 - https : / / en . wikipedia . org / wiki / Cyberattacks _ during _ the _ Russo - Georgian _ War 
 - http : / / www . economist . com / node / 17147818 
 - http : / / money . cnn . com / 2015 / 08 / 05 / technology / aramco - hack 
 - http : / / ru . tsn . ua / ukrayina / iz - za - hakerskoy - ataki - obestochilo - polovinu - ivano - frankovskoy - oblasti - 550406 . html 
 - SANS : https : / / ics . sans . org / blog / 2016 / 01 / 01 / potential - sample - of - malware - from - the - ukrainian - cyber - attack - uncovered 
 - http : / / www . mta . go . kr / policy / its / management _ sign . jsp 
 - https : / / securelist . com / blog / incidents / 57854 / shamoon - the - wiper - copycats - at - work ​ 
 분석 팀 차민석 책임 , 이덕규 연구원