세계 100개국에 피해를 입힌 것으로 추정되는 '워너크라이'(WannaCry) 랜섬웨어의 확산이 주춤하자 배경에 관심이 쏠린다.
| |  |
| 랜섬웨어에 걸린 PC. AP연합 |
보안전문가들이 이 랜섬웨어를 분석해 확산을 중단시키는 '킬 스위치'를 발견하고 이를 작동시킨 덕이라는 분석이 나온다.
13일 보안업계에 따르면 '@malwaretechblog'라는 트위터 계정을 쓰는 한 사이버보안 전문가가 미국 보안업체 프루프포인트의 다리엔 후스 등 다른 이들의 도움을 받아 워너크라이 랜섬웨어의 킬 스위치를 발견했다.
이 전문가는 악성 코드를 분석한 결과 이 코드가 매우 길다란 특정 도메인 이름(글자로 된 인터넷 주소)에 접속을 시도한다는 사실을 발견했다.
또 이 도메인 네임이 등록돼 있지 않아 활성화되지 않은 점도 발견했다.
이런 사에 주목한 이 전문가는 10.69달러(한화 1만2000원)을 등록비로 내고 이도메인 이름을 등록해 활성화한 후 미국 로스앤젤레스에 있는 한 서버가 이 도메인 이름을 쓰도록 했다.
이 전문가는 당초 워너크라이 랜섬웨어의 확산에 관한 정보를 분석하기 위해 시험삼아 이 도메인명을 등록했으나, 당초 기대보다 더 큰 '보답'을 받았다.
정보 분석 결과 워너크라이 랜섬웨어는 만약 이 도메인 이름이 활성화돼 있지 않으면 확산 활동을 계속하고, 이 도메인 이름이 활성화돼 있으면 스스로 전파를 중단하는 것으로 나타났다.
도메인 이름이 랜섬웨어 확산을 중단하는 일종의 킬 스위치로 작동하는 셈이다.
랜섬웨어 제작자는 원하는 경우 확산을 중단할 수 있도록 도메인 이름으로 된 킬 스위치를 넣어 악성코드를 설계한 것으로 추정된다.
문제의 도메인 이름을 등록한 보안전문가는 미국 정보기술 매체 '더 데일리 비스트'와의 인터뷰에서 "(도메인 이름이) 등록돼 있지 않은 것을 보고 '내가 등록해야겠다'는 생각을 했다"며 "(로스앤젤레스의 서버에 도메인을 등록하자마자) 즉각 초당 5000∼6000건의 접속이 이뤄지는 것을 봤다"고 설명했다.
그는 "도메인 이름을 등록할 당시에는 이렇게 하면 확산이 중단될 것이라는 사실을 몰랐고, 그런 면에서는 우연히 발견한 것이라고 할 수 있다"고 설명했다.
이 도메인 이름이 활성화된 후부터 워너크라이 랜섬웨어는 스스로 전파를 중단하기 시작했다.
보안업계와 외국 매체들은 해당 전문가를 '우연히 탄생한 영웅'(an accidental hero)라고 부르며 칭송하고 있다.
다만 워너크라이 랜섬웨어 제작자나 다른 해커가 킬 스위치를 없앤 변종을 새로만들어 유포할 가능성이 있어 완전히 안심할 수는 없다.
또 킬 스위치가 작동하고 있다고 해서 이미 감염된 시스템이 치료되는 것은 아니므로 여전히 사용자들과 보안 전문가들의 주의가 필요하다. 권진국 기자
)
