안철수연구소, 스턱스넷(Stuxnet) 상세 분석 및 대응책 발표

이란 원전핵시설, 중국 기반시설 사이버 공격..전세계 비상
산업자동화제어시스템 겨냥 악성코드 첫 사례..유사 사례 제작 예상
산업자동화 시스템 전용 보안 솔루션 ‘트러스라인’으로 대응

[ 하루를 보는 뉴스! NAC미디어 - 뉴스 애니한닷컴 / webmaster@nacpress.com ] 통합보안 기업인 안철수연구소(대표 김홍선, www.ahnlab.com, 약칭 ‘안랩’)가 최근 전세계적 사이버 공격 이슈인 ‘스턱스넷(Stuxnet)’ 악성코드에 대한 상세 분석 정보와 대책을 발표했다.

‘스턱스넷’은 최초로 산업자동화제어시스템을 겨냥해 제작된 악성코드로서 USB와 네트워크 공유 취약점 등을 이용해서 전파된다. 악성코드가 실제 사이버 전쟁에 이용되는 상황에서 한 국가의 주요 기간 시설이 공격자에게 장악될 수 있음을 보여준 사례이다. 영화 ‘다이하드 4.0’에서 국가 기간망을 공격한 사이버 전쟁이 현실화했다는 점에서 국가 주요 기간 시설 및 산업 자동화 시설에 대한 안전 대책이 필요하다는 것을 보여준다.

‘스턱스넷’은 독일 지멘스사의 산업자동화제어시스템을 공격 목표로 제작된 악성코드로 원자력, 전기, 철강, 반도체, 화학 등 주요 산업 기반 시설의 제어 시스템에 침투해 오작동을 일으키는 악성코드를 입력해 시스템을 마비시킬 수 있다.

이란 부셰르 원자력핵발전소와 중국 1천여 개 주요 산업 시설을 비롯해 전세계 여러 국가에 감염이 확산된 것으로 보고되고 있다. 해외 보안 업체에 따르면 전세계 PC 수십 만 대가 감염됐다. 다만 일반 PC에서는 SCADA(supervisory control and data acquisition, 감시 제어 데이터 수집 시스템)시스템에 접속할 수 없기 때문에 감염만 될 뿐 산업자동화제어시스템을 직접 동작시켜 피해를 주는 일은 없다.

우리나라는 상대적으로 원자력 발전 시설과 첨단 자동화 산업 생산 시설이 많으므로 더욱 주의와 예방이 필요하다. 이에 따라 최근 행정안전부는 국내 피해에 대비해 독일 지멘스사 제어 시스템을 사용하는 산업 시설 40여 개를 대상으로 예방 및 대응 조치를 발표했다.

안철수연구소 시큐리티대응센터의 분석에 따르면 ‘스턱스넷’은 여러 개의 파일로 구성되며, 알려지지 않은 여러 개의 취약점을 이용해서 산업자동화제어시스템을 제어하는 PC에 드롭퍼(스턱스넷의 핵심 모듈 파일을 생성하는 하는 파일)가 실행된다. 이 드롭퍼는 정상 s7otbxdx.dll 파일의 이름을 변경해 백업하고 정상 s7otbxdx.dll 파일과 동일한 이름으로 자신의 파일을 생성한다. 이후 산업자동화제어시스템을 통합 관리하는 도구(소프트웨어)인 ‘Step7’을 실행하면 원래의 정상 파일이 아닌 스턱스넷이 실행된다.

‘Step7’의 기능은 s7otbxdx.dll 파일을 통해서 제어 PC와 산업자동화제어시스템 간에 블록 파일을 교환하는 것이다. 이 파일을 Stuxnet의 DLL 파일로 바꾸면 산업자동화제어시스템을 모니터링하거나 제어(수정 또는 악성 블록 생성)할 수 있다. 이후 공격자는 모터, 컨베이어 벨트, 펌프 등의 장비를 제어하거나 심지어 폭발시킬 수도 있다. 즉, 산업 시설이 관리자가 아닌 악의적 공격자에게 장악될 수 있는 것이다.

스턱스넷이 실행되는 환경 조건은 SCADA 시스템 안에 지멘스사의 ‘Step7’이 산업자동화제어시스템 제어용 PC에 설치되어 있고, 산업자동화제어시스템 타입이 6ES7-315-2 또는 6ES7-417이고, 산업자동화제어시스템 제어 PC의 운영체제(OS)가 윈도우인 경우이다. 또한 스턱스넷이 이용하는 취약점은 총 5개이다. 이 취약점 중 3개(USB, 공유 프린터, 공유 폴더를 통해 감염)는 이미 MS에서 보안 패치를 제공하지만 2개는 아직 발표하지 않았다.

스턱스넷의 피해를 막으려면 산업자동화시스템이 있는 곳에서는 안철수연구소가 최근 산업자동화 시스템에 최적화해 별도 개발한 전용 솔루션인 ‘안랩 트러스라인(AhnLab TrusLine)’을 설치해 방어할 수 있다(보충자료2). 또한 개인 및 기업의 일반 PC에는 V3 제품군(V3 Lite, V3 365 클리닉, V3 IS 8.0 등)을 설치해 예방/치료하는 것이 안전하다.

안철수연구소 조시행 연구소장은 “이번 스턱스넷은 최근 꾸준하게 보안전문가들이 제기한, 구체적인 목표를 가진 타깃형 사이버 공격이다. 악성코드가 전략적으로 이용될 가능성을 보여주는 구체적인 사례이며, 이 같은 공격은 더욱 늘어날 것으로 예상된다. 특히 SCADA 시스템과 같이 폐쇄적인 환경에서 악성코드가 감염되었을 경우 일반적인 안티바이러스로는 대응이 어려울 수밖에 없으므로, 화이트리스트(Whitelist) 기반의 전용 솔루션으로 대비하는 방안이 필요하다.”라고 강조했다.