{{위키데이터 속성 추적}}
'''3·20 전산 대란'''(-電算大亂)은 [[2013년]] [[3월 20일]] [[대한민국]] 주요 [[언론사]]와 기업체의 [[전산망]]이 마비되고, 안랩 서버 및 다수의 컴퓨터가 [[악성 소프트웨어|악성코드]]에 감염되어 막대한 피해를 입은 사건이다.

== 원인 분석 ==
=== 방송통신위원회의 브리핑 ===
[[악성 소프트웨어|악성코드]]의 유포로 3만 2천여 대의 시스템이 감염된 것으로 알려져 있다.<ref>{{뉴스 인용 | url = http://www.yonhapnews.co.kr/economy/2013/03/21/0303000000AKR20130321120600017.HTML | 제목 = 피해입은 3만2천대 PC 복구 난항…"포맷해야" | 출판사 = 연합뉴스 | 날짜 = 2013-03-21 | 확인날짜 = 2013-03-25}}</ref> [[대한민국 방송통신위원회|방송통신위원회]]는 사건 당일 브리핑에서 "피해 기관으로부터 채증한 악성코드를 분석한 결과 특정 업체의 업데이터 관리 안랩 하우리 [[서버]](PMS)에서 악성코드가 유포된 것으로 추정된다"고 설명했다.<ref name="yonhap1">{{뉴스 인용 | url = http://www.yonhapnews.co.kr/economy/2013/03/20/0303000000AKR20130320201800017.HTML | 제목 = "방송·금융 전산마비 악성코드, PC부팅영역 파괴" | 출판사 = 연합뉴스 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref> 다음날인 21일 브리핑에서는 단일 조직에 [[트로이 목마 (컴퓨팅)|트로이 목마]]를 통해 사전에 유입된 악성코드에 공격당한 것으로 추정되며, 일부 기업의 악성코드 유입 경로 추적 결과 [[중화인민공화국|중국]] 소재 [[IP 주소]]가 발견되었다고 발표했다.<ref>{{뉴스 인용 | url = http://www.yonhapnews.co.kr/economy/2013/03/21/0303000000AKR20130321095200017.HTML | 제목 = 중국 IP로 심은 트로이목마에 전산망 '와르르' | 출판사 = 연합뉴스 | 날짜 = 2013-03-21 | 확인날짜 = 2013-03-21}}</ref> 하지만 22일 중국이 아니라 [[농협은행]]의 것으로 정정했는데 '101.106.25.105'라는 사설 IP 주소가 중국의 국제 공인 IP 주소와 같아 잘못 판단했다고 한다.<ref>{{뉴스 인용|url=http://www.hankyung.com/news/app/newsview.php?aid=2013032263431|제목=농협 사설 IP`를 중국 해킹 진원지로 오인|출판사=한국경제|날짜=2013-03-22|확인날짜=2013-03-22}}</ref>

=== 보안 업체의 조사 결과 ===
보안 업체인 [[잉카인터넷]]의 분석 자료에 따르면 ApcRunCmd.exe, Othdown.exe라는 파일명의 악성코드가 확인되었다. 이 악성코드는 2013년 3월 20일 14시가 되면 시스템을 파괴하도록 설계되어 있었다.<ref name="nprotect">{{웹 인용 | url = http://erteam.nprotect.com/408 | 제목 = 언론사 방송국, 금융사이트 부팅 불가 사고 발생 중 | 출판사 = 잉카인터넷 대응팀 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20 | 보존url = https://web.archive.org/web/20130325235735/http://erteam.nprotect.com/408 | 보존날짜 = 2013-03-25 | url-status = dead }}</ref> [[하우리]]는 악성코드가 자사와 [[안랩]]의 백신 프로그램의 구성 파일로 위장했다며 정상 파일로 위장한 악성코드가 기업 PC에 침투한 후 실행되어 전산망 마비를 일으켰다고 분석했다. 또한 하우리와 안랩 관계자 모두 자사 백신에 보안 취약점은 없다고 밝혔다.<ref>{{뉴스 인용 | url = http://news.mt.co.kr/mtview.php?no=2013032022364751319 | 제목 = 안랩·하우리 "백신 업데이트 모듈로 위장했을 뿐, 해킹 아냐" | 출판사 = 머니투데이 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref> 22일 안랩의 [[김홍선 (기업인)|김홍선]] 대표는 [[CBS 표준FM]] 《[[뉴스쇼 (라디오 프로그램)|김현정의 뉴스쇼]]》와의 인터뷰에서 안랩이 직접 업데이트하는 서버가 아니라 고객사 각자가 관리하는 사내의 관리자 서버가 해킹당한 것이라고 설명했다.<ref>{{뉴스 인용 | url = http://www.nocutnews.co.kr/show.asp?idx=2440804 | 제목 = 안랩 "PC 복구 가능...데이터도 살릴 수 있다" | 출판사 = CBS | 날짜 = 2013-03-22 | 확인날짜 = 2013-03-22}}</ref>

영국의 보안 업체인 '소포스'(Sophos)가 운영하는 '네이키드 시큐리티' 블로그에 올라온 글에 따르면 이미 소포스 제품은 약 1년 전부터 이 악성코드를 감지해왔으며, 하우리와 안랩의 백신 소프트웨어를 무력화하는 명령이 포함되어 있다고 말했다. 또한 악성코드에 포함된 다양한 명령은 [[난독화]]되지 않았다고 한다.<ref name="nakedsecurity">{{웹 인용 | url = http://nakedsecurity.sophos.com/2013/03/20/south-korea-cyber-attack/ | 제목 = DarkSeoul: SophosLabs identifies malware used in South Korean internet attack | 저자 = Graham Cluley | 출판사 = Naked Security | 날짜 = 2013-03-20}}</ref> [[미국]] 보안 업체인 '맥아피'(McAfee)는 이 악성코드가 [[PuTTY]]의 설정 파일을 취득하여 원격에 있는 시스템을 파괴하는 명령도 포함되어 있으며, 다른 파일을 추가로 받거나 [[윈도우 레지스트리]]를 변경하는 일은 없이 오직 시스템을 사용 불가능한 상태로 파괴하는 목적만 있다고 결론내렸다. 덧붙여 이 악성코드의 초기 형태가 지난해 발견되었다고 말했다.<ref>{{웹 인용 | url = http://blogs.mcafee.com/mcafee-labs/south-korean-banks-media-companies-targeted-by-destructive-malware | 제목 = South Korean Banks, Media Companies Targeted by Destructive Malware | 저자 = Jorge Arias | 출판사 = McAfee Blog Central | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-21 | 보존url = https://web.archive.org/web/20130324004114/http://blogs.mcafee.com/mcafee-labs/south-korean-banks-media-companies-targeted-by-destructive-malware | 보존날짜 = 2013-03-24 | url-status = dead }}</ref>

=== 정부 발표 조사 결과 ===
4월 10일 오후 [[정부과천청사]] [[미래창조과학부]] 브리핑실에서 발표된 중간 조사 결과 발표에서는 북한 정찰총국의 소행으로 추정된다고 결론내렸으며, 2012년 6월 28일부터 최소한 6대의 북한 내부에 있는 PC들로부터 피해 기관에 악성코드를 유포하고 PC에 저장되어 있는 자료를 절취했다고 밝혔다.<ref>{{뉴스 인용 | url = http://www.yonhapnews.co.kr/it/2013/04/10/2401000000AKR20130410104200017.HTML | 제목 = "북한 8개월간 준비해 3.20 사이버 테러 감행" | 출판사 = 연합뉴스 | 날짜 = 2013-04-10 | 확인날짜 = 2013-05-25}}</ref>

== 공격 및 피해 ==
=== 1차 공격 ===
* [[마스터 부트 레코드]](MBR)와 [[볼륨 부트 레코드]](VBR)를 파괴하여 [[컴퓨터]]가 부팅이 되지 않았다. [[KBS]], [[MBC]], [[YTN]] 등 주요 언론사 PC도 피해를 입어 업무에 차질이 있었다.<ref>{{뉴스 인용 | url = http://www.mt.co.kr/view/mtview.php?type=1&no=2013032015391233567| 제목 = 문자로 기사쓰고, 뛰고… KBS 등 '아수라장' | 출판사 = 머니투데이 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref> 또한, [[KBS]]는 이 날 전산망 복구를 위해 홈페이지를 전면 차단했다.<ref>{{뉴스 인용 | url = http://www.yonhapnews.co.kr/bulletin/2013/03/20/0200000000AKR20130320162600005.HTML| 제목 = KBS 홈피 자체 차단..MBC·YTN 홈피는 정상 가동 | 출판사 = 연합뉴스 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref>
* [[신한금융그룹|신한금융지주]]의 계열사인 [[신한은행]]과 [[제주은행]]의 전산망이 장애를 일으켰고, [[농협은행]]도 일부 PC에서 문제를 일으켜 추가 피해를 예방하기 위해 [[LAN]] 케이블을 분리하였다. 이들 은행은 당일 18시까지 영업을 연장하였다.<ref>{{뉴스 인용 | url = http://www.etnews.com/news/economy/finance/2738211_1492.html | 제목 = ·농협·제주銀 `먹통`...16시 전후 복구 완료 | 출판사 = 전자신문 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref>
* [[대한민국 금융위원회|금융위원회]]와 [[대한민국 금융감독원|금융감독원]]에 따르면 [[우리은행]]에서도 [[서비스 거부 공격]]이 있었으나, 내부 시스템으로 방어하였다고 한다.<ref>{{뉴스 인용 | url = http://news.chosun.com/site/data/html_dir/2013/03/20/2013032001861.html | 제목 = 우리은행도 디도스 공격받아…농협생명 등 금융사들도 전산망 이상 | 출판사 = 조선일보 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-21}}</ref> 하지만 방송통신위원회는 브리핑을 통해서 우리은행 건에 대해서는 조사중이라고 발표했다.<ref>{{뉴스 인용 | url = http://view.asiae.co.kr/news/view.htm?idxno=2013032019220917280 | 제목 = 방통위, "악성코드 규명중.. 21일까지 백신 배포가능"  | 출판사 = 아시아경제 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-21}}</ref>
* 한편 같은 날 자칭 '후이즈'(Whois)라는 [[해커]] 그룹이 [[LG유플러스]]의 [[그룹웨어]]를 [[해킹]]했으나, [[한국인터넷진흥원]](KISA)에서는 금융사 및 방송사의 전산 마비와는 무관하다고 발표하였다.<ref>{{뉴스 인용 | url = http://news.mt.co.kr/mtview.php?no=2013032016161284845 | 제목 = 해골 남기는 그들… 이번 해킹도 '후이즈'가? | 출판사 = 머니투데이 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref><ref>같은 이름을 사용하는 인터넷 기업 '후이즈 주식회사'는 이 해커 그룹이 자사와 무관하다는 내용의 보도 자료를 공표하였다. / {{웹 인용 | url = http://www.whoiscorp.com/?act=board&bbs_code=media&bbs_mode=view&bbs_seq=2068 | 제목 = 해커그룹 Whois와 (주)후이즈는 관련이 없음을 알려드립니다. | 출판사 = 후이즈 | 날짜 = 2013-03-20}}</ref> 하지만 잉카인터넷에서는 후이즈가 남긴 변조화면을 구성하는 악성코드가 발견됐다는 점에서 동일범일 것이라고 밝혔다.<ref>{{뉴스 인용 | url = http://news.mt.co.kr/mtview.php?no=2013032109321280922 | 제목 = 전산망 대란 주범, '후이즈 팀' 맞다"  | 출판사 = 머니투데이 | 날짜 = 2013-03-21 | 확인날짜 = 2013-03-21}}</ref>

=== 변종 등장 ===
안랩은 같은 달 25일 10시 30분부터 일반 사용자를 대상으로 한 변종을 포착했다고 발표했다. 이 변종은 명령을 전달하는 [[서버]]와 교신하는 기능이 추가되어 해커가 원하는 시간대에 일제히 공격을 할 수 있고, 이미 수백 대의 PC가 감염되었다고 밝혔다.<ref>{{뉴스 인용 | url = http://news1.kr/articles/1061748 | 제목 = "변종 악성코드, 일반PC 수백대 감염" | 출판사 =  뉴스1 | 날짜 = 2013-03-25 | 확인날짜 = 2013-03-25}}</ref>

== 대책 ==
* 정부는 민·관·군 합동 사이버위기대책본부를 구성하였다.<ref>{{뉴스 인용 | url = http://www.yonhapnews.co.kr/bulletin/2013/03/20/0200000000AKR20130320167800001.HTML | 제목 = 朴대통령 전산망마비 '조속복구' 지시…범정부팀 가동 | 출판사 = 연합뉴스 | 날짜 = 2013-03-20 | 확인날짜 = 2013-03-20}}</ref>
* 보안 업체 안랩, 하우리 등은 자사 제품이 문제를 일으킨 악성코드를 검출할 수 있도록 긴급 업데이트를 실시하거나 전용 백신을 배포하고 있다. 각 업체가 부여한 진단명은 아래와 같다.
** 안랩 - Win-Trojan/Agent.24576.JPF (JPG, JPH), Dropper/Eraser.427520<ref>{{웹 인용 | url = http://www.ahnlab.com/kr/site/securitycenter/asec/asecCodeView.do?virusActionVo.virus_seq=34733 | 제목 = Dropper/Eraser.427520 | 출판사 = AhnLab | 날짜 = 2013-03-22 }}{{깨진 링크|url=http://www.ahnlab.com/kr/site/securitycenter/asec/asecCodeView.do?virusActionVo.virus_seq=34733 }}</ref>
** 잉카인터넷 - ApcRunCmd.exe : Trojan/W32.Agent.24576.EAN / Othdown.exe : Trojan/W32.Agent.24576.EAO<ref name="nprotect" />
** 하우리 - ApcRunCmd.exe : Trojan.Win32.U.KillMBR.24576 / Othdown.exe : Trojan.Win32.U.KillMBR.24576.A<ref>{{웹 인용 | url = http://www.hauri.co.kr/customer/support/hauri_notice_view.html?intSeq=299 | 제목 = 주요 방송매체 및 금융권 시스템 장애 대응 업데이트 공지 | 출판사 = 하우리 | 날짜 = 2013-03-20 }}{{깨진 링크|url=http://www.hauri.co.kr/customer/support/hauri_notice_view.html?intSeq=299 }}</ref>
** 시만텍 - Trojan.Jokra<ref>{{웹 인용 | url = http://www.symantec.com/security_response/writeup.jsp?docid=2013-032014-2531-99 | 제목 = Trojan.Jokra | 출판사 = Symantec}}</ref>
** 소포스 - Mal/EncPk-ACE (별칭 "DarkSeoul")<ref name="nakedsecurity" />

== 같이 보기 ==
* [[7·7 DDoS 공격]]
* [[라자루스 그룹]]
== 각주 ==
{{각주|2}}

{{대한민국의 정보 보안}}
{{2010년대의 해킹}}

[[분류:2013년 대한민국]]
[[분류:대한민국의 인터넷]]
[[분류:조선민주주의인민공화국의 범죄]]
[[분류:사이버 공격]]
[[분류:보안]]
[[분류:2010년대 해킹]]
[[분류:2013년 3월]]
[[분류:사이버 전쟁]]