"미국 IP로 확인됨."(9일 새벽 1시 40분)

"서버에 접속해서 받아오는 원소스 파일 찾았고 패킹(암호화) 풀어야 함."(새벽 2시7분)

"아 우리가 발견한 데가 공격자 맞는 듯.내 PC 이상해졌음."(새벽 2시10분)

"끝까지 왔음.보고서 작성 완료."(9일 새벽 5시35분)

드라마처럼 펼쳐진 9일 새벽,기자 휴대폰에 남겨진 문자메시지들이다. '해킹 대란'을 일으킨 악성코드를 분석한 홍민표 쉬프트웍스 대표(31)와 이대로 연구원(23)은 지난 8일 오전 11시부터 꼬박 14시간 동안 악성코드에 매달렸다. 서버에 접속한 경로를 기록으로 남기기 위해 분석을 끝낸 뒤에도 쉽게 잠들 수 없었다. 대규모 DDoS 공격의 심각성을 알아챘기 때문이다.

이들은 "처음에 777 DDoS 대란을 일으킨 악성코드 파일 중 msiexec1.exe, perfvwr.dll, wmiconf.dll, msiexe2.exe 등 4개를 입수해 본격적으로 분석을 시작했다"며 "실제로 C&C(Control & Command)하는 서버의 주소가 무엇이고 어떤 식으로 서버에서부터 악성코드가 다운로드되는지에 초점을 맞췄다"고 말했다.

그렇게 밝혀낸 결과 악성코드 유포 서버의 인터넷 주소(75.151.XXX.XXX)가 드러났다. 홍 대표는 "악성코드가 유포되는 흐름을 따라 들어갔더니 영문 윈도 서버 2000이 깔려 있는 미국 인터넷주소의 가상서버였다"며 "그 프로그램 내용을 바꾸거나 해당 IP를 국내에서 차단하면 더 이상의 악성코드 유포는 막을 수 있다"고 했다. 이미 그 서버에 접속해 좀비PC가 된 경우에는 예정된 대로 3차 해킹공격에 이용당하지만 앞으로의 피해는 줄일 수 있다는 얘기다. 공격자가 누구인지에 대해선 "누군진 알 수 없지만 서버를 찾기 까다롭게 해놓고 서버에 접속한 로그기록을 전부 지운 걸 보면 아주 수준급의 실력자일 것"이라고 했다.

해당 IP의 주소가 미국 뉴저지주 마운트 로렐시라는 걸 알아낸 건 9일 오후 5시께다. 홍 대표는 "새벽엔 미국이라는 것만 확인했고 오후에 다시 찾아보니 뉴저지주 마운트 로렐이더라"고 말했다.

이들 분석에 따르면 악성코드의 파일 안에는 '독립기념일을 기리며(Memory of the Independence Day)'라는 문구가 명확히 담겨 있었다. 악성코드가 유포되는 경로에 대해선 감염 사이트에서 자동으로 다운로드되거나 'Memory of the Independence Day'라는 제목의 영문메일을 열어보는 경우 등이다. 홍 대표는 "무엇보다 이미 악성코드에 감염된 PC 사용자들이 빨리 삭제프로그램으로 지워야 한다"며 "MS 윈도 취약점을 이용한 제로데이 공격인 만큼 윈도 패치가 빨리 나오는 것도 중요하다"고 지적했다. 삭제 프로그램은 와우해커(www.wowhacker.com) 안철수연구소(kr.ahnlab.com) 등에서 무료로 내려받을 수 있다.

민지혜 기자 spop@hankyung.com