로버트 모리스(Robert Tappan Morris)는 미국의 코넬대학교 박사 과정을 이수중이던, 해커와는 거리가 먼 평범한 학생이었습니다. 모리스는 어느 날 문득 한 생각을 하게 되는데요.

컴퓨터를 전공하다 보면 한 번쯤 생길법한 의문이죠? 그러나 보통 사람이라면 단순한 궁금증으로 그쳤겠지만 모리스는 이에 그치지 않고, 인터넷에 연결되어 있는 모든 컴퓨터의 수를 세는 프로그램을 작성하게 됩니다. 유닉스 기반의 컴퓨터에서만 작동하도록 만든 이 프로그램은 순수하게 모리스의 궁금증을 해결하기 위해 만들어진 프로그램이었어요.

모리스는 유닉스 운영체제에 존재하는 취약점을 이용했습니다. 프로그램은 패스워드 사전 공격(Dictionary Attack)으로 컴퓨터 시스템에 침입한 뒤, 버퍼 오버플로우 취약점으로 임의의 코드를 실행해 인터넷에 연결된 다른 컴퓨터로 프로그램을 복제시켜가며 인터넷 상에 존재하는 모든 컴퓨터에 침입할 수 있게 되었죠. 침입에 성공한 프로그램은 컴퓨터에 별 다른 피해 없이 상주하며 서버에 자신이 인터넷에 연결되었다는 메시지를 일정 주기로 보냈습니다.

어떤가요? 인터넷을 통해 자동으로 복제되는 이 프로그램이면 아주 쉽게 인터넷에 연결된 모든 컴퓨터의 수를 셀 수 있을 것 같지 않나요? 여기까지는 모리스가 예상했던 프로그램의 동작이었습니다. 그러나 모리스는 프로그램에 한 가지 로직을 더 추가하게 되는데, 이 로직때문에 순수한 의도의 프로그램이 미국 전역의 서버를 마비시킨 무시무시한 악성코드가 되어버립니다.

모리스는 프로그램이 인터넷에 연결된 컴퓨터의 정확한 수를 셀 수 있도록 하기 위한 로직을 추가하게 됩니다. 바로 중복으로 컴퓨터를 세는 일을 방지하는 로직이었죠.

일단 프로그램이 컴퓨터를 감염시키는 데 성공하면 모리스의 프로그램이 기존에 실행되고 있는지를 확인했습니다. 만약 Yes라는 대답이 돌아오면 이미 카운팅한 컴퓨터로 보고 프로그램을 종료했습니다. 그러나 컴퓨터 관리자의 보안설정과 같은 이유로 프로그램이 실행되고 있지 않더라도 무조건 Yes라는 대답이 돌아올 수도 있다는 것을 고려해 7분의 1 확률로 대답에 상관없이 무조건 프로그램을 실행하도록 했는데, 이 7분의 1이라는 확률은 당시 인터넷의 통신 빈도를 과소평가했던 확률이었습니다.

결국 모리스의 프로그램 때문에 이틀간 6천여 대의 서버가 다운되며 피해액 추산치만 당시 💰1000만 달러(약 106억 원)에 달했습니다. 1988년의 물가를 감안하면 엄청난 수치네요! 단순한 호기심으로 시작했던 일이 얼마나 큰 파장을 일으켰는지 짐작이 가시나요? 만약 악의를 가진 해커가 이런 짓을 벌였다면... 상상만 해도 끔찍한 피해가 발생했을 거예요.

이 사건으로 인해 열악했던 보안 의식 강화의 필요성이 제기되었으며, 미국 방위고등연구계획국(DARPA)은 컴퓨터침해사고대응팀(CERT)이라는 조직을 창설하는 계기가 됩니다.

또한 모리스는 결국 컴퓨터 사기 및 남용에 관한 법률을 위반한 혐의로 보호관찰 3년, 사회봉사 400시간, 10,050달러의 벌금 및 보호관찰 비용 지불의 처분을 받게 되었습니다.😥 취약점을 악용했지만 보안 의식이 옅었던 옛날이라 처벌이 약했다고 볼 수 있을 거 같네요. 요즘에는 침해사고 관련 법률이 강화되어 아주 강력한 처벌을 받으니 절대로 하면 안되겠죠?

오늘 해커의 TMI, 모리스웜은 여기까지입니다. 재밌게 읽으셨나요? 악성코드와 관련된 TMI는 다음 주에 또 다른 이야기로 찾아오겠습니다! 안녕~ 👋