스턱스넷(Stuxnet)이란?
스턱스넷은 이란의 핵시설을 공격하기 위해 설계·배포된 컴퓨터 웜입니다. 실제 물리적 인프라에 피해를 입힌 세계 최초의 사이버 무기로 평가받는 스턱스넷은 이란의 핵 원심분리기를 표적으로 삼아 핵심 군사 역량을 파괴하고, 이란 핵개발 프로그램 전반에 심각한 차질을 빚어냈습니다.
누가 스턱스넷을 개발했는지는 공식적으로 밝혀진 바 없지만, 미국과 이스라엘 정부가 공동으로 개발한 것으로 널리 알려져 있습니다. 두 정부는 이란 핵무기 개발이 가속화하자 점점 더 우려를 키웠고, 핵연구개발 센터에 대한 공습을 포함한 다양한 대응책을 검토했습니다.
그러나 이란 핵시설에 대한 직접적인 군사 행동이 지역 분쟁은 물론 글로벌 충돌로 번질 위험이 컸기 때문에, 미국과 이스라엘의 기획자들은 보다 은밀한 공격 방식에 주목했습니다. 그 결과 2006년, 전례 없는 사이버 공격 작전을 통해 이란의 우라늄 농축 시설을 마비시키기로 결정합니다.
스턱스넷은 어떻게 만들어졌나?
스턱스넷은 미국과 이스라엘 정보기관이 주도한 '올림픽 게임(Operation Olympic Games)'이라는 코드명의 극비 프로그램을 통해 탄생했습니다. 미국 국가안보국(NSA)의 주도 아래 진행된 이 합작 작전의 임무는 단순히 컴퓨터에 감염되는 수준을 넘어, 물리적 인프라까지 실제로 손상시킬 수 있는 바이러스 혹은 다른 형태의 악성코드를 개발하는 것이었습니다.
그렇게 완성된 스턱스넷 웜은 네트워크를 통해 자가 복제하는 일반적인 악성 웜과 비슷한 방식으로 설계되었지만, 그 복잡성 면에서는 판도를 바꾸는 존재였습니다. 일단 시스템에 침투한 악성코드는 데이터 유출, 백도어 설치, 또는 이란의 스턱스넷 사례처럼 봇(bot)을 심어 시스템 설정 전체를 장악하는 데 활용될 수 있습니다.
스턱스넷은 바이러스인가?
스턱스넷 악성코드는 흔히 '스턱스넷 바이러스'라고 불리지만, 엄밀히 따지면 컴퓨터 바이러스보다는 웜(worm)으로 분류하는 것이 더 정확합니다. 바이러스와 웜 모두 시스템 감염, 파일 손상, 빠른 확산을 통해 피해를 일으키는 것은 같습니다. 하지만 바이러스가 실행과 자가 복제를 위해 호스트 파일이나 프로그램을 필요로 하는 반면, 웜은 외부 도움 없이 스스로 복제할 수 있습니다. 즉, 웜은 호스트 파일이나 프로그램 같은 외부 입력 없이도 자기 자신을 복제하기 때문에 특히 정교하고 위험한 사이버 위협으로 꼽힙니다.
컴퓨터 웜은 특히 정교한 형태의 악성코드입니다.
스턱스넷 웜은 무엇을 하는가?
네트워크에 침투한 스턱스넷은 당시 윈도우 운영체제에서 발견되지 않았던 제로데이(zero-day) 취약점들을 활용해 컴퓨터에서 컴퓨터로 빠르게 번져 나갔습니다. 하지만 2010년 스턱스넷 제로데이 공격으로 감염된 컴퓨터들은 웜의 최종 목표가 아니었습니다. 이들은 웜이 진짜 표적인 하드웨어에 접근하기 위해 거쳐간 통로일 뿐이었습니다.
이란의 핵 농축 시설에 침투한 스턱스넷은 원심분리기 및 무기급 핵물질 생산에 쓰이는 각종 산업용 기계를 제어하는 프로그래머블 로직 컨트롤러(PLC)에 연결된 컴퓨터를 찾아 나섭니다.
이후 웜은 PLC의 코드를 조작해 원심분리기가 과도하게 빠른 속도로, 너무 오랫동안 회전하도록 만드는 동시에, 모든 것이 정상 작동 중인 것처럼 보이는 가짜 데이터를 관제 시스템에 전송했습니다. 그 결과 민감한 정밀 기기들이 크게 손상되었고, 이란의 핵개발 프로그램은 일시적으로 큰 차질을 빚게 됩니다.
스턱스넷은 어떻게 확산되었나?
공격 대상이 된 핵시설은 인터넷과 연결되어 있지 않았기 때문에, 스턱스넷은 디지털 해킹을 통해 배포될 수 없었습니다. 대신 웜은 노트북, USB 메모리 등 이동식 저장 매체를 통해 반입된 것으로 추정됩니다. 한 대의 컴퓨터가 감염되는 순간 스턱스넷은 빠르게 자기 복제를 시작했고, 장비에서 장비로 옮겨 다니며 결국 네트워크 전체가 감염되고 말았습니다.
스턱스넷 웜은 이란 핵개발 프로그램을 제어하던 네트워크를 공격했습니다.
이란의 핵 농축 프로그램을 운영하던 시스템은 에어갭(air gapped), 즉 인터넷과 완전히 차단된 환경이었기 때문에 감염이 내부에만 머물렀어야 했습니다. 그러나 스턱스넷은 어떤 경로로든 인터넷에 연결된 컴퓨터까지 퍼져나갔고, 야생 상태로 급속히 확산되면서 제3자들도 이 코드를 손에 넣을 수 있는 상황이 되었습니다.
스턱스넷의 이후는 어땠나?
스턱스넷은 단발성 공격이 아니라 수주乃至 수개월에 걸쳐 천천히 진행된 캠페인이었습니다. 2010년 말 벨라루스의 사이버보안 전문가들이 스턱스넷을 발견하고 분석했을 때, 이미 수만 대의 컴퓨터가 감염되었고 수백 대의 원심분리기가 작동 불능 상태에 빠져 있었습니다.
이란은 스턱스넷을 전자전 행위라고 격하게 규탄하며 웜을 차단하고 네트워크에서 제거하려 했습니다. 하지만 스턱스넷은 변이를 거듭하며 계속 확산되었기 때문에 이러한 노력은 번번이 좌절되었습니다. 2010년 말, 이란 당국은 스턱스넷을 모든 시스템에서 완전히 제거하는 데 몇 달이 걸릴 것이라고 공개적으로 인정했습니다.
스턱스넷은 2012년에 만료되도록 설계되었지만, 초기 표적 시설을 넘어 이미 외부로 유출된 상태였고, 결국 저지르고 말았던 일이 되어버렸습니다. 그 이후 스턱스넷과 유사한 특성과 능력을 지닌 웜을 이용한 인프라 사이버 공격이 연이어 발생했습니다.
가장 주목받은 스턱스넷 후속 악성코드들을 살펴보겠습니다.
듀쿠(Duqu)
2011년, 위협 분석가들이 새로운 웜을 발견하고 듀쿠라고 명명했습니다. 듀쿠와 스턱스넷 사이의 놀라운 유사성 때문에 전문가들은 두 악성코드가 밀접한 관련이 있다고 판단했습니다. 실제로 두 코드는 거의 동일했으며, 유일한 차이점은 듀쿠가 기계를 파괴하는 용도가 아니라 키 입력을 가로채고 시스템 데이터를 수집하는 스파이웨어 역할을 하도록 설계되었다는 점이었습니다.
플레임(Flame)
2012년에는 스턱스넷과 연관된 것으로 의심되는 또 다른 악성코드가 등장했습니다. 새로운 위협에 플레임이라는 이름을 붙인 연구자들은 이 악성코드가 스턱스넷과 상당 부분 코드를 공유하며, 특히 동일한 윈도우 취약점을 표적으로 삼고 USB 저장장치를 통해 확산되도록 설계된 점이 같다고 밝혔습니다.
페티야(Petya)
페티야는 스턱스넷과 직접적인 관련은 없지만, 2017년 내내 우크라이나의 각종 기관을 초토화시킨 악성코드로서 사이버 공격이 개별 부문은 물론 국가 전체를 겨냥한 무기화되는 양상을 보여준 또 하나의 사례입니다. 랜섬웨어로 분류되지만, 페티야의 주요 목적은 우크라이나 은행 시스템에 대혼란을 일으키는 것으로 보였습니다.
악성코드 공격으로부터 보호하는 방법
스턱스넷은 악성코드 사례 중에서도 특히 극단적이고 유명한 사례이지만, 디지털 보안과 현실 세계의 안전 사이 경계가 점점 흐려지고 있다는 강력한 경고이기도 합니다. 랜섬웨어를 예방하고 스턱스넷 및 유사 바이러스 같은 정교한 위협을 무력화하려면 보안 모범 수칙을 철저히 지키는 것이 필수적입니다.
USB 드라이브와 기타 이동식 저장장치의 사용을 최소화하면 감염된 저장장치를 통해 악성코드가 컴퓨터에 침투할 위험을 줄일 수 있습니다. 또한 VPN 사용의 다양한 이점 중 하나이기도 한 암호화 연결은 신원을 숨기고 중간자(man-in-the-middle) 공격으로부터 보호하는 데 도움이 됩니다.
하지만 VPN이 필요하긴 해도, VPN만으로는 부족합니다. 피해가 발생하기 전에 공격을 차단할 수 있는 실시간 위협 검사 기능을 갖춘 전용 백신 소프트웨어가 반드시 필요합니다. 최고 수준의 사이버보안 제품은 트로이목마 제거 도구 같은 전용 악성코드 제거 기능을 갖추고 있어, 새롭게 등장하는 위협까지 격리하고 완전히 제거할 수 있습니다.
Avast의 사이버보안 소프트웨어는 오늘날의 다양한 온라인 위협으로부터 여러분을 보호합니다.
Avast로 바이러스로부터 보호하세요
우리의 삶이 디지털 공간으로 더 깊이 들어가고 새로운 위협이 날로 정교해질수록, 사이버 위협이 현실 세계의 재앙으로 번지기 전에 막아낼 수 있는 강력한 온라인 보안으로 스스로를 지키는 것이 중요합니다.
Avast One은 강력한 안티맬웨어 기능을 갖춰 여러분의 기기를 요새처럼 만들어 줍니다. 고도화된 악성코드 위협을 탐지하고 차단하는 다층 보안은 물론, 방화벽과 VPN을 포함한 다양한 보안·프라이버시·성능 기능까지 갖춘 Avast One은 디지털 라이프를 지키는 올인원 사이버보안 솔루션입니다.