때는 지난 2010년 6월 작은 컴퓨터 보안 회사, VirusBlokAda가 한 악성코드를 발견함으로써 사건이 시작되었습니다. 해당 악성코드에서는 'stuxnet'라는 단어가 여러 번 등장해 해당 악성코드를 스턱스넷이라고 명명하게 됩니다.

한 기자가 해당 내용의 글을 블로그에 포스팅하며 전 세계에 알려지게 되는데요. 이후, 다양한 전문가들의 분석을 통해 스턱스넷의 상세한 기능들이 공개되었습니다. 해당 악성코드의 내용은 느슨해진 보안씬에 긴장감을 불어넣어 줄 만큼 충격적이었는데요.

일반 악성코드는 개인 PC를 대상으로 하지만 스턱스넷은 조금 달랐습니다. 바로 지멘스 사의 SCADA(Supervisory Control And Data Acquisition) 소프트웨어만을 대상으로 작동하게 되는 악성코드였습니다. SCADA는 산업 시설에서 사용하는 작업 공정을 감시하고 전체적인 제어를 담당하는 컴퓨터 시스템을 말하는데요. 당시 지멘스 사는 유럽을 대표하는 엔지니어링 대기업이었던 만큼 많은 산업체에서 지멘스 사의 시스템을 사용해 문제가 되었습니다.

기자를 통해 세간에 알려진 직후인 2010년 7월, 산업 소프트웨어 보안 담당자들의 메일에 DDos 공격이 이루어졌고, 이로 인해 담당자들 사이의 정보교환이 어려워지는 사태가 발생합니다.

전 세계적으로 스턱스넷과 관련된 점검 툴과 보안 조치를 각 기관에 배포하는 등 보안 권고와 보안 점검, 그리고 사건에 대한 조사가 시작되게 됩니다.

이후 조사된 바에 따르면, 60%의 감염 사례가 이란에서 발견되었으며 2010년 1월부터 9월 사이 이란에서 발생한 원자력 발전소의 오작동들 중 일부가 스턱스넷의 소행임이 밝혀 졌습니다. 이뿐만 아니라 스턱스넷의 피해는 다른 곳에서도 드러났는데요. 2010년 7월부터 발생한 중국의 다양한 산업체들의 오작동도 이 스턱스넷이 원인임이 드러났습니다.

스턱스넷은 어떻게 산업체만을 대상으로 은밀하게 감염시킬 수 있었을까요?

이런 스턱스넷은 대상이 특정되는 만큼 작동 방식도 매우 치밀했습니다. 감염은 대상을 가리지 않고 무작위로 전염되지만, 감염된 대상에게서 지멘스 사의 소프트웨어를 발견하지 못한다면 발견할 수 없도록 아무런 행위도 하지 않고 휴면 상태에 진입해 스턱스넷이 발견될 수 없도록 합니다. 또한, 한 대상으로부터 무제한으로 복제되어 감염될 수 있는 일반적인 웜과 달리 한 대상으로부터 최대 3개의 대상에게만 전염될 수 있도록 설정해 웜이 널리 퍼지지 않고 국소적으로만 퍼지도록 은밀하게 대상만을 노렸습니다. 3개의 대상에 전염이 끝나면 자신을 삭제하도록 설계되어 이를 찾기란 쉽지 않았습니다. 😣

스턱스넷은 그 공격 방식 또한 은밀함에 중점을 두었는데요. 해커가 SCADA 소프트웨어에서 보내는 제어신호를 가로채더라도 수집한 정보를 통해 다른 신호를 보내어 오작동을 감지하지 못하게 했습니다. 세간에서는 이를 "저격수의 솜씨다."라고 평가할 만큼 정교하고 집요하게 대상만을 노리도록 설계된 악성코드라고 할 수 있습니다. 😨

범인에 대해 얘기해보기 전에, 도대체 목표 시설망만 감염시켜야 할 스턱스넷이 어떻게 인터넷으로 나와 세상에 밝혀지게 되었을까요?

바로 USB입니다. 스턱스넷에 감염된 시설의 엔지니어가 시설에서 사용하는 USB와 본인이 개인적으로 사용하는 USB와 구분하지 않아 인터넷이 연결된 개인 컴퓨터에 USB를 꽂게 되며 인터넷으로 스턱스넷이 퍼지게 된 것입니다. 😓

그래서 스턱스넷을 만든 사건의 범인은 누구였을까요?🤔

스턱스넷의 감염사례 60% 이상이 이란에서 나왔고 핵 시설 등의 산업체를 목표로 한 악성코드였기 때문에 당시에는 여러 추측들이 난무했습니다. 특히, 이란의 핵 시설에 반감을 품고 있던 이스라엘의 소행이라는 주장이 많았습니다. 또한, 국가적인 지원 없이는 나올 수 없는 복잡하고 정교한 코드의 '저격수'의 솜씨를 가진 악성코드를 만들었기 때문에 더더욱 이런 주장에는 힘이 실렸습니다.

하지만 일각에서는 "뛰어난 지식을 가진 프로그래머라면 충분히 만들 수 있는 것이기에 대부분의 뉴스가 자극적인 정보만을 추구해 과장된 것이다."라는 주장도 있었지만, 이후 2012년, 사건의 범인들이 밝혀지게 됩니다. 2012년 1월 뉴욕 타임즈(NewYork Times)에서 스턱스넷과 관련된 기사가 투고됩니다. 내용은 바로 스턱스넷의 존재는 미국-이스라엘 정부가 합동으로 실행한 올림픽 작전(Operation Olympic Games)의 일부라는 것입니다. 해당 작전은 조지 부시 대통령 시절부터 시작되어 오바마 정부 때 직접적인 공격이 실행되었다는 것입니다. 2013년에도 미국 정부가 프리즘이라는 소프트웨어를 통해 개인을 감시하는 것이 폭로된 프리즘 폭로 사건의 주역인 에드워드 스노든이 "스턱스넷은 미국 국가 안보국과 이스라엘이 공동으로 제작한 것" 임을 밝힘으로써 사건이 마무리되게 됩니다.

해당 사건은 스턱스넷이라는 사이버 무기가 최초로 발견되었다는 점에서 의미가 있습니다. 해당 사건은 사이버 전쟁이 본격화되는 시발점이 되었고 전 세계의 각국은 사이버 보안에 대해 다시 점검하고 중요성을 되돌아보는 계기가 되었습니다.

짹짹's profiling은 다음에 더 흥미로운 사건으로 찾아뵙겠습니다. 👋