Home > [테마기획] 게임보안 > 중국발 황사 - 게임 해킹
 
 

1. 2005년 봄… 문제의 시발

독자들은 최근 들어 국내 웹 사이트들이 중국發 해킹에 여지없이 당하는 내용들을 매스컴을 통해서 자주 들어 보았을 것이다. 또한 웹 서버 보안관련 세미나 또는 관련 보안 권고문들이 각 보안 사이트들에 게재되고 커뮤니티에서도 이 얘기가 화제가 되고 있기도 하다.

중국發 해킹피해는 이름만 대면 알만한 국내 유명 사이트들이 포함되어 있었고 이중 일부 사이트들은 다시 해킹을 당하는 수모를 겪기도 했다. 필자가 글을 작성하는 현재도 국내 유명 웹 사이트뿐만 아니라 취약점이 존재하는 전 세계 수 많은 사이트들이 해커들의 먹잇감이 되고 있다. 또한 이는 비단 우리나라 문제만은 아니다. 필자의 경우, 이와 같이 자동화가 될 해킹유형을 올 4월 중순쯤 일본의 유명가격비교 사이트가 유사한 방법으로 당했을 때 처음 인지하게 됐다. 물론 이 해킹의 발단은 이보다 더 오래 되었지만, 사회적 이슈가 되기 시작한 것은 올 4~5월쯤부터 국내 웹 사이트들이 피해를 당하면서부터가 아닌가 한다.

그렇다면 왜? 갑자기 공격이 증가하고 해킹 당하는 사이트가 많아진 것일까? 그 대답은 간단하다. 작년까지만 해도 이 해킹의 공격방법은 자동화되지 못한 것으로 보인다. 특정 DB 의 취약한 부분을 찾아내어 공격하는 이 방법(SQL Injection)은 현재는 자동화된 툴로 공격 사이트를 검색하고 해킹을 시도 할 수 있기 때문으로 분석된다.

그렇다면 "왜? 사이트 관리자들은 해킹에 대하여 경각심을 갖지 못하고 또 피해를 당하거나 점점 해킹당하는 사이트가 많아지고 있는 것일까?" 라고 혹시 의문을 가질 독자들도 있으리라. 필자가 생각하는 가장 큰 이유는 이런 종류의 해킹을 통해서는 직접적으로 눈에 보이는 피해가 없기 때문이 아닌가 생각된다. 피해라고 해봤자 관리자들은 단지 메인 페이지나 사용자가 자주 찾는 페이지 내에 특정 호스트의 URL 이 적혀 있는 것을 발견할 것이다. 이 라인은 width=0 height=0 의 IFRAME Tag 만 한 줄 적혀 있기 때문에 대수롭지 않게 생각하고 해당 라인을 삭제하는 것으로 조치를 했다고 생각할 수도 있다.

이것은 특정 호스트가 명시된 IFRAME Tag 만 삽입된 경우이지만 실제 해당 URL을 쫒아가 보면 Internet Explorer 관련 취약점이 있는 스크립트와 *.chm 파일이 업로드 되어있는 또 다른 해킹 피해를 입은 호스트를 찾아 낼 수 있다. 즉 해킹은 한대의 시스템에서만 이루어지는 게 아니라 최소 2대 이상의 시스템을 해킹한 후 악의적인 목적을 가진 파일을 업로드 해두고 사용자가 웹 사이트 방문 시 다운로드 되어 설치되도록 하는 것이다.



2. 궁극적인 목적…돈!

그렇다면 해커의 목적은 과연 무엇일까? 일반적인 웹 사이트 해킹은 크게 메인 페이지 변조 및 웹 서비스 관련 데이터 삭제 등의 서비스 거부 공격이 주목적이라 할 수 있다. 하지만 위 방식의 해킹이 대수롭지 않은 문제로 간과되는 이유 중 하나가 해킹을 당한 후에도 관리자들이 이를 눈치채기 어렵다는데 있다. 즉, 정상적인 웹 서비스를 구동하는데 아무런 문제가 없어 관리자들이 인지하기 어렵다. 그리고 문제가 있다고 인지한 그 시간에 벌써 해당 웹 사이트에 접속한 사람들 중 보안 패치가 제대로 이루어지지 않은 시스템은 악성코드에 감염될 위험이 매우 높다는 것이다.

그렇다. 해킹의 목적은 바로 악성코드 유포에 있는 것이다. 그렇다면 이 악성코드가 가지고 있는 피해 증상은 무엇일까? 그것은 바로 온라인 게임의 사용자 계정을 훔쳐내는 것이다. 기밀서류나 개인금융정보도 아닌 단지 온라인 게임의 사용자 계정이 훔쳐낼만한 가치가 있는지 반문하는 분들도 있을 것이다. 국내의 온라인 게임의 성공은 이미 해외에서도 잘 알려진 사실이다. 그리고 온라인 게임의 특성상 게임 내 아이템들은 이미 오래 전부터 현금거래가 되어 왔고 그 규모가 크며 조직적으로 이루어진다. 특히 해킹을 이용하여 설치된 악성코드(여기서는 트로이목마)가 주로 노리는 온라인 게임의 아이템들은 고액으로 현금거래가 된다고 하니 악의적인 목적을 가진 사람들이 충분히 노릴 수 있는 대상이다. 이는 또한 현재 악성코드 흐름을 반영한 것으로 악성코드제작 목적이 금전적인 이익을 얻어 “검은 돈”을 취득하려 하는데 있다는 것을 잘 증명해준다.

얼마 전부터 악성코드들은 훔쳐낼 수 있는 온라인 게임 대상을 넓혔고 그 변형도 계속 쏟아져 나오고 있다. 이 역시 악성코드를 제작할 수 있는 도구가 공개되었고 훔쳐낼 게임명, 전송받을 메일주소 등 필요한 내용 등을 입력하면 자동으로 악성코드 제작이 가능하다. 즉, 위에서 언급한 해킹과 악성코드 제작 모두가 자동화되었기 때문에 해킹 당하는 사이트가 늘어나고 악성코드 변형이 쏟아져 나오는 것이다. 여기서 우려되는 또 다른 문제는 악성코드 제작자가 게임이 아닌 개인 금융정보라던가 중요한 문서 유출을 시도한다면 더 큰 문제로 발전하게 된다는 것이다. 이런 정보유출문제뿐만 아니라 이와 같은 방식으로 다른 악성코드도 충분히 유포가 가능하기 때문에 중국發 해킹과 악성코드의 문제는 이제 게임보안만의 문제가 아닐 가능성이 매우 커지고 있다.

3. 중국發 해킹과 악성코드 대책

빨리 해결될 수 있는 근본적인 대책을 시원하게 말 할 수 있는 사람은 없는 것 같다. 현재 중국發 해킹이 노리는 것은 온라인 게임의 아이템들인데 지금 당장 아이템 현금거래를 막을 수도 없기 때문이다. 일부 온라인 게임사들은 오래전부터 게임보안 전문 솔루션을 도입 했었고 해킹문제로 인하여 안티 키로깅 서비스등을 지원하는 곳도 있다. 이러한 보안대책은 게임업체가 제시할 수 있는 방법이라면 관리자나 사용자가 할 수 있는 최선의 대책은 웹 애플리케이션과 사용자 시스템의 보호일 것이다.

웹 애플리케이션에 대한 확실한 보안과 대응을 할 수 있는 솔루션에 관심을 갖는 분들이 많을 것이다. 물론 판매되는 보안 제품도 있을 것이고 제품도입 이외에도 관리자들이 관심을 갖고 관리하는 서버에 (사용자 입력 값 또는 URL 인자 값에 대한 검증 등) 취약점은 없는지 파악해보고 적절한 조치만 해주면 해킹을 예방하거나 위험을 최소화 할 수 있을 것이다. 근본적으로는 웹 응용 프로그램을 제작할 때, 코드리뷰를 통한 유효성 검증 등의 작업을 거쳐서 SQL Injection 같은 외부명령에 의한 비정상적인 커넥션이 이루어지지 않도록 하는 게 중요하다 하겠다.

물론 이 해결책은 누구나 말할 수 있는 교과서적인 답변이고 뜬구름 잡는 얘기 일 수도 있다. 큰 규모의 회사라면 이런 방식의 서버점검이나 도입한 웹 응용프로그램의 소스리뷰는 매우 비현실적인 문제일 것이다. 즉, 알고 있지만 현실적으로 이를 해결하는데 갖가지 어려움이 따르기 마련이다. 이는 해킹된 후 설치된 악성코드 대책에 있어서도 같은 맥락이다. 자동화된 공격 툴과 악성코드 제작도구로 끊임없이 만들어지는 트로이목마 변형들을 효과적으로 대응 할 수 있는 것은 윈도우 운영체제에 대한 보안패치와 안티바이러스 제품을 반드시 사용하는 것, 그리고 새로운 엔진 업데이트만이 최선의 방법이다.

누구나 문제는 알고 있지만 많은 사람들이 간과 할 수도 있고 현실적인 문제에 부딪쳐서 제대로 대응해보지 못한 경우가 많이 있을 것이다. 따라서 보안은 관심을 갖지 않으면 소홀해지기 쉬운 문제이고 솔루션들은 그 다음으로 선택할 수 있는 대응책이라 볼 수도 있다. 끝으로 자동화에 의한 대규모 공격예상과 잦은 변형 트로이목마 출현 대응에 있어서 보안 전문가와 안티바이러스 연구가들이 이번 문제를 해야 할 일이 명확해졌다. 사용자들이 보안에 좀더 관심을 가지는 것을 바란다면 필자를 포함한 보안 및 안티 바이러스 연구가들 역시 이를 위한 연구, 개발을 소홀히 해서는 안 된다는 얘기도 당부 드리고 싶다.
 
 
[11,12월호] 2005년 11월 9일
수요일 발행 (제23호)