스턱스넷

스턱스넷(Stuxnet)은 2010년 6월에 발견된 웜 바이러스이다. 마이크로소프트 윈도우를 통해 감염되어, 지멘스 산업의 소프트웨어 및 장비를 공격한다. 이 웜이 산업시설을 공격하는 최초의 악성 소프트웨어는 아니지만, 산업시설을 감시하고 파괴하는 악성 소프트웨어로는 최초이다.
이 웜은 마이크로소프트 윈도가 설치된 임의의 컴퓨터에 감염되지만, 지멘스의 SCADA 시스템만을 감염시켜 장비를 제어하고 감시하는 특수한 코드를 내부에 담고 있다. 스턱스넷은 장비를 프로그램하는 데 사용되는 PLC를 감염시켜 장비의 동작을 변경한다.
스턱스넷의 여러 변종이 이란에 있는 5개 시설에서 발견되었으며, 웜의 공격목표는 이란의 우라늄 농축 시설인 것으로 추정된다. 2010년 8월 시만텍은, 스턱스넷에 감염된 전 세계의 컴퓨터 중 60%가 이란에 소재한 컴퓨터라고 발표했다. 11월 29일 지멘스는 이 웜이 자사의 고객에게 어떤 피해도 끼치지 않았으나, UN 안보리 결의안 1737호에 의해 사용 금지된 지멘스 제품을 비밀리에 입수하여 사용중인 이란 핵시설만이 피해를 입었다고 발표했다. 러시아 컴퓨터 보안 회사인 카스퍼스키 랩은 이 정도로 정교한 공격은 "국가적 규모의 지원" 없이 이루어질 수 없다고 결론지었다. 핀란드 컴퓨터 보안 회사인 F-Secure의 수석연구원 미코 휘푀넨(Mikko Hyppönen) 또한 여기에 동의했다. 이 공격에는 이스라엘과 미국 이 참여한 것으로 추정된다.
역사.
스턱스넷은 2010년 6월 중순 컴퓨터 보안 회사 VirusBlokAda에 의해 처음 발견되었고, 코드 내에서 Stuxnet이라는 키워드가 여러번 등장함에 따라 스턱스넷이라는 이름이 붙었다. 브라이언 크렙스 기자가 2010년 7월 15일 자신의 블로그에 이 내용을 포스팅하면서 전 세계에 알려졌다. 2010년 7월 15일 이 바이러스의 존재가 알려지자마자, 산업 소프트웨어 보안과 관련된 두 개의 대형 메일링 리스트에 DDOS 공격이 이뤄졌다. 스턱스넷과 연관된 것으로 추정되는 이 공격으로 한개의 메일링 리스트가 다운되어 발전소와 공장에 관한 중요한 정보 교환을 방해했다.
카스퍼스키 랩의 전문가들은 2010년 3월이나 4월부터 이 바이러스가 퍼지기 시작했다고 추정했으나, 이 바이러스의 첫 번째 변종은 2009년 6월부터 등장한 것으로 밝혀졌다. 바이러스의 전파 속도가 느리다고 여긴 개발자들이 2010년 3월 크게 발전된 두 번째 변종을 제작한 것으로 추정된다. 2010년 4월에는 약간의 수정을 거친 세 번째 변종이 퍼지기 시작했다.
감염된 나라.
시만텍에서 연구한 스턱스넷의 감염경로에 의하면, 초기에 감염된 주요 국가는 이란, 인도네시아 및 인도인 것으로 보인다.
동작.
대부분의 악성 소프트웨어와 달리, 스턱스넷은 특정 조건을 만족하지 않는 컴퓨터와 네트워크에는 거의 해를 끼치지 않는다. William J. Broad는 "개발자들은 자신들의 공격목표에만 타격을 입히기 위해 대단히 신중을 기했다. 이건 저격수의 솜씨다."라고 평했다. 이 웜은 무작위로 전염되지만, 감염된 컴퓨터에서 지멘스 소프트웨어를 발견하지 못하면 휴면 상태에 들어가며, 3개 이하의 다른 컴퓨터에만 전염되도록 제어하고, 2012년 6월 24일에는 자기 자신을 삭제하는 안전장치를 포함하고 있다.
만약 공격목표를 발견하면, 스턱스넷은 공정 제어 신호를 중간에서 가로채 가짜 신호를 보내는 중간자 공격(man-in-the-middle attack)을 행해, 소프트웨어가 오작동을 감지하고 시스템을 정지시키지 않도록 한다. 이렇게 복잡한 공격을 수행하는 악성 소프트웨어는 사실상 처음 발견된 것이다. 스턱스넷은 마이크로소프트 윈도, 지멘스 PCS 7, 그리고 지멘스 S7 PCL로 이루어진 3단계 시스템에 각각 공격을 행한다.
윈도 운영체제 감염.
스턱스넷은 마이크로소프트 윈도우 운영체제에 4개의 제로 데이 공격(소프트웨어 제조사가 해당 취약점에 대해 모르거나, 알고 있지만 보안 패치를 배포하지 않은 상태에서 하는 공격)과, 더불어 LNK/PIF 파일 취약점, 그리고 Conficker 웜이 사용한 취약점을 공격했다. 취약점에 대한 최신 정보는 악성 코드 개발자들에게는 귀한 것이므로, 하나의 웜에 4개나 되는 제로 데이 공격이 사용된 것은 전례없는 일이다. 또한 악성 소프트웨어로는 드물게 약 500KB의 큰 용량을 갖고, C와 C++를 포함한 여러 언어로 작성되었다. 최초 감염은 USB 플래시 드라이브를 통해 이루어졌고, 이후에는 윈도 컴퓨터간의 원격 프로시저 호출 등의 프로토콜을 통해 인터넷에 노출되지 않은 폐쇄망으로 연결된 컴퓨터에 감염되었다.
스턱스넷은 윈도의 유저모드와 커널모드 루트킷으로 동작할 수 있으며, 중화민국 회사인 마이크론 테크놀로지와 리얼텍에서 각각 유출된 공인인증서의 비밀 키로 서명된 장치 드라이버를 탑재하고 있다. 공인 인증된 장치 드라이버로 인해 바이러스가 커널모드 루트킷으로 동작할 수 있었고, 덕분에 오랫동안 발견되지 않았다.
덴마크와 말레이시아에 위치한 두 개의 웹 서버가 악성 소프트웨어의 제어와 명령 전달, 그리고 산업 스파이 정보 수집을 위해 사용되었다. 이 웹서버들은 발견 직후 악성 소프트웨어의 활동 정지를 위해 폐쇄되었다.
Step 7 소프트웨어 감염.
독일의 학자 랄프 랑너에 의하면, 윈도 시스템에 설치된 스턱스넷은 지멘스사의 WinCC/PCS 7 SCADA 제어 소프트웨어인 Step 7을 감염시켜, WinCC의 핵심 라이브러리인 codice_1의 내용을 변경한다. 이후 스턱스넷은 감염된 라이브러리를 통해 WinCC와 지멘스 PLC 사이의 데이터 통신을 몰래 가로채, PLC를 제어하면서 동시에 WinCC가 감염된 PLC의 메모리를 감지하여 스턱스넷을 찾아내는 것을 방해한다.
PLC 감염.
스턱스넷의 전체 코드는 아직 공개되지 않았지만, 해당 악성 코드는 특정 조건으로 설정된 SCADA 소프트웨어만을 공격하는 것으로 알려져 있다. 스턱스넷은 특정한 가변 주파수 드라이브가 설치된 지멘스 S7-300 시스템 및 보조 모듈이 설치된 시스템에서만 동작하며, 두 회사(핀란드의 Vacon사 제품과 이란의 Fararo Paya사 제품)에서 생산하는 가변 주파수 드라이브가 설치된 PLC 시스템을 공격한다. 또한, 모터의 주파수를 탐지하여 주파수가 807Hz에서 1210 Hz 사이에 해당하는 시스템만을 공격한다. 이 조건에 해당하는 시스템은 펌프와 기체 원심분리기를 포함, 다양한 산업계에서 사용된다.
스턱스넷은 PLC 시스템의 Profibus 메시지 버스 시스템을 감시하는 D8890 블록에 악성 코드를 설치한다. 특정 조건이 만족되면, 스턱스넷은 주기적으로 모터의 회전수를 1410 Hz, 2 Hz, 1064Hz로 변경하여 모터에 과부하를 일으킨다. 또한 PLC 시스템에 루트킷을 설치하여 자기 자신을 숨기고, 모터의 회전수가 변경되고 있다는 것을 시스템으로부터 숨긴다. 스턱스넷은 PLC 시스템에서는 최초로 발견된 루트킷이다.
제거.
지멘스는 스턱스넷을 감지하고 제거하는 소프트웨어를 배포했다. 또한 제삼자에게서 받은 USB 플래시 드라이브를 사용하지 말고, 마이크로소프트에서 제공한 취약점 패치를 설치하며, 스턱스넷이 발견될 경우 고객센터에 연락할 것을 권한다. 또한 지멘스는 즉시 시스템 패스워드를 변경할 것을 권장한다.
스턱스넷은 외부 PLC를 재프로그램할 수 있는 능력이 있어, 제거를 더 어렵게 만들 수 있다. 시만텍의 Liam O'Murchu는 마이크로소프트 윈도 시스템을 고치는 것만으로는 문제가 완전히 해결되지 않을 것이라고 경고했다. 스턱스넷의 제거 과정에서 실수를 일으키면 시스템에 해를 끼칠 것으로 예상되었으나, 지멘스는 발견 후 4개월 동안 22명의 고객의 시스템에서 스턱스넷이 성공적으로 제거되었다고 보고했다.
목표 및 제작자에 대한 추측.
전문가들은 스턱스넷이 악성 소프트웨어 역사상 가장 많은 비용과 개발 인력을 소모한 프로젝트일 것으로 추정한다. 스턱스넷의 다양한 능력은 산업 공정에 대한 전문적인 지식과 산업 기반 시설의 취약점에 대해 잘 알고 있는 개발팀이 아니면 만들어낼 수 없는 것이다. 시만텍은 스턱스넷의 개발팀이 5명에서 30명 사이의 규모로, 6개월의 준비기간이 걸렸을 것으로 추정한다. 또한 전문가들은 스턱스넷과 같은 복잡한 코드를 개발하는 것은 국가만이 할 수 있는 일이라고 말한다. 또한 자기 삭제나 웜이 끼칠 수 있는 불필요한 피해를 막는 기타 안전장치들은 법적인 문제를 회피하려는 것이며, 이것은 서방 정부가 관여하고 있다는 것을 의미한다. 그러나 소프트웨어 보안 전문가 브루스 슈나이어(Bruce Schneier)는 스턱스넷에 대한 모든 뉴스는 과장된 것이며, 대부분 추측에 지나지 않는다고 말했다.
최근 뉴욕타임즈 기사에 따르면 스턱스넷은 오바마 대통령이 집무를 시작한 초기에 이란을 대상으로 한 사이버 공격을 명령하였다고 한다.
이란.
스턱스넷에 감염된 PLC 시스템을 분석한 랄프 랭너는, 2010년 9월, 이 악성 소프트웨어가 이스라엘에서 개발된 것으로 추측했다. 그러나 2011년 2월에 녹화된 TED 컨퍼런스에서는, "제 생각에는 모사드가 연루되어 있습니다. 하지만 주도세력은 이스라엘이 아닙니다. 그 배후의 주도 세력은 사이버 초강대국입니다. 그 유일한 나라가 바로 미국입니다." 라고 말했다. 시만텍의 보안 대응팀 책임자인 Kevin Hogan은 감염된 시스템 중 약 60%가 이란에 있으며, 따라서 이란의 중요 목표인 부셰르 원자력 발전소 또는 나탄즈에 있는 우라늄 농축 시설 중 하나를 공격하는 것이라고 추측한다. 랭너는 스턱스넷이 "일회용 무기"이며, 목표 시설이 아마 실제로 피해를 입었을 것이나, 이것은 추측에 지나지 않는다고 말했다. 나탄즈의 우라늄 농축 시설이 대상이라고 처음 추측한 것은 독일의 연구원 Frank Rieger이다.
나탄즈 우라늄 농축 시설.
이스라엘 일간지 하레츠()가 보도한 바에 의하면, 이란의 소프트웨어 보안 전문가들과 핵 전문가들은 "작년 한해동안 원심분리기 성능이 30퍼센트 감소한 나탄즈 우라늄 농축 시설이 스턱스넷에 의해 사보타지되었다"는 것을 알게 되었다. 2010년 11월 23일 나탄즈 우라늄 농축 시설은 기술적 문제로 시설이 여러 차례 정지되었다고 발표했다. 위키리크스는 2009년 상반기에 일어난 "심각한 원자력 사고"(원심분리기 정지로 추정됨)로 인해 이란 원자력 에너지 기구의 수장인 골람 레자 아가자데()가 사임하였다고 보고했다. 미국 과학자 연맹이 발표한 통계는 해당 사고가 일어났을 무렵 이란에서 가동중인 핵 농축 원심분리기의 숫자가 4,700에서 3,900으로 이유없이 줄어든 것을 보여준다. 과학국제안보연구소(ISIS)는 2010년 12월 출판한 보고서에서 스턱스넷이 나탄즈에서 일어난 사건에 대한 "합리적인 설명"이며, 최대 1,000개(약 10%)의 원심분리기가 2009년 11월부터 2010년 1월 사이에 파괴된 것으로 보인다고 언급했다. 이 보고서는 이렇게 결론짓는다. 또한 이 보고서는 이란 당국이 새 원심분리기를 대규모로 설치하여 이 사고를 숨기려고 한 것으로 보인다고 썼다.
스턱스넷은 이란의 IR-1 원심분리기를 감염시켜, 회전속도를 정상속도인 1,064Hz에서 1,410Hz로 15분간 증가시켰다. 27일 후 웜 바이러스가 다시 작동하여 이번에는 50분간 수백헤르츠의 낮은 속도로 동작시켰다. 지나치게 빠른 속도에서 다시 낮은 속도를 오간 원심분리기의 알루미늄 튜브는 이웃한 튜브와 접촉하여 기계를 파괴시켰다. 국제 원자력 기구에서 나탄즈 시설에 설치한 카메라에는, 스턱스넷이 활동한 것으로 알려진 무렵에 900-1000개의 원심분리기를 해체하여 제거하는 모습이 잡혔다.
2011년 2월 15일 과학국제안보연구소는 또다른 보고서에서 다음과 같이 결론지었다.
이란측 반응.
이란의 준 공식 채널인 이란 학생 뉴스 통신은 2010년 9월 24일 이란 원자력 기구 전문가들이 시스템에서 스턱스넷을 제거할 방법을 논의하기 위해 모였다고 보도했다. 데이비드 올브라이트(David Albright) 등의 분석가들은, 서방 정보기관들이 오랫동안 이란의 핵 프로그램을 사보타지하기 위해 노력하고 있었다고 한다.
부셰르 원자력 발전소 소장은 로이터와의 인터뷰에서 발전소 직원들의 PC만이 감염되었다고 말했고, 국영 신문인 《일간 이란》은 이란 통신부 장관 레자 타기푸르(Reza Taghipour)를 인용하여 "정부 시스템에 큰 피해를 끼치지 않았다"고 보도했다. 이란 산업채굴부 산하 정보통신 위원회 위원장인 마흐무드 리아이(Mahmud Liaii)는 "이란에 대한 전자전이 시작되었으며... 이 컴퓨터 웜은 이란의 산업시설에 대한 정보를 이란 밖으로 유출할 목적으로 만들어졌다"고 말했다.
이란은 스턱스넷 감염에 대응하기 위한 팀을 조직했다. 한 공직자는 3만개 이상의 IP가 감염되었으며, 자기 자신을 변형시킬 수 있는 스턱스넷의 능력으로 인해 감염이 퍼지는 것을 막기가 어렵다고 말했다. 이란은 바이러스 제거 도구를 직접 제작했으며, 지멘스 SCADA 안티바이러스 시스템은 스턱스넷을 제거하는 대신 업데이트하는 것으로 의심되므로 사용하지 말 것을 권했다.
이란 국영 정보통신 회사의 부사장 하미드 알리푸르(Hamid Alipour)에 의하면, "새로운 버전의 바이러스가 퍼짐에 따라 공격이 계속되고 있다"고 한다. 이 회사는 이란의 "중요 센터와 기구"에서 바이러스 제거가 계속되고 있으며, "우리는 한두달 내에 이 바이러스를 뿌리뽑을 거라고 예상했지만, 제거 프로그램을 진행한 이후에도 세 가지 변종을 새로 발견했다"고 말했다.
2010년 11월 29일 마무드 아마디네자드 이란 대통령은 이란에서는 처음으로 나탄즈 시설의 원심분리기 제어 시설이 컴퓨터 바이러스로 인해 문제를 일으켰다고 언급했다. 아마디네자드 대통령은 테헤란에서 가진 기자회견에서 "전자부품에 설치된 소프트웨어로 인해 우리의 원심분리기 중 일부가 문제를 일으켰다"고 말했다.
같은 날 두 명의 이란 핵물리학자가 테헤란에 있는 샤히드 베헤슈티 대학교 근처에서 거의 동시에 차량 폭탄 테러를 당했다. 이 공격으로 양자역학자 마지드 샤리아리(Majid Shahriari)가 사망하고, 이란 국방부 고위 공직자인 페레이둔 아바시()가 크게 다쳤다. 《와이어드》는 스턱스넷의 배후에 있는 이들이 이란 핵 프로그램의 진행을 충분히 늦추지 못했다고 느끼고 이 암살사건을 일으켰을 것으로 추측했다. 2010년 1월 테헤란 대학 교수인 핵물리학자가 유사한 폭발사건으로 사망했다. 2012년 1월 11일, 나탄즈 농축 시설 책임자 무스타파 아마디 로샨() 또한 샤리아리와 유사한 수법으로 살해당했다.
미국 과학자 연맹은 이란 농축 시설의 생산량이 2010년 동안 오히려 증가했다고 분석했다. 이 분석에 따르면 이란의 원심분리기는 작년에 비해 60% 이상 향상된 성능을 내고 있어, 이란이 무기용 우라늄을 생산하는 시간을 크게 단축시켜 줄 것으로 보인다. 2010년 이란의 핵 농축 능력이 증가한 것으로 보아, 스턱스넷이 실제보다 큰 피해를 입혔다고 믿게 하기 위해 이란이 잘못된 정보를 흘렸을 가능성도 있다.
제조국에 대한 추측.
이스라엘과 미국, 그 외에 다른 서방 국가들이 스턱스넷의 배후에 있는 것으로 지목되었다.
이스라엘.
많은 언론들 과 전직 미국 국토안보부 고위 공무원인 Richard A. Falkenrath 등의 전문가들은 이스라엘의 정보부대인 8200부대 가 스턱스넷에 관여했을 것으로 추측하고 있다. 이스라엘 일간지 《하레츠》의 정보 담당 기자 Yossi Melman 또한, 전직 (2011년) 모사드 기관장인 메이어 데이건()이 중요한 프로젝트를 맡고 있어 연임되었다고 지적하면서, 이 주장을 뒷받침하였다. 또한, 이스라엘 당국은 당초 이란이 2012년경 핵무기를 보유할 것으로 예측했으나, 이제는 2014년이나 2015년경 핵무기를 보유할 것으로 예측하고 있다고 지적하며, "그들이 애초에 생각했던 것보다 시간이 더 있다고 말하는 것을 보면, 그들은 뭔가 알고 있다"고 말했다. 이스라엘은 스턱스넷에 대해 공식적으로 언급한 바가 없으나, 사이버 전쟁을 국방 전략의 중요한 축으로 삼고 있다.
영국의 데일리 텔레그래프지와 이스라엘 일간지 《하레츠》 보도에 따르면, 이스라엘 방위군 (IDF) 참모총장 가비 아슈케나지가 자신의 은퇴 기념식에서 자신이 참모총장으로서 수행한 성공적인 작전 중 하나로 스턱스넷을 언급하여, 이스라엘이 이 공격의 배후에 있다는 추측을 강화하였다.
스턱스넷이 발견되기 전인 2009년, 미국 사이버 보안 전문기관인 Cyber-Consequences Unit의 책임자 Scott Borg는, 이스라엘이 이란의 핵시설에 대한 군사적 공격보다는 사이버 공격을 선호할 것이라고 보았다. 2010년 말에는 다음과 같이 언급했다. "이스라엘은 분명히 스턱스넷을 개발할 능력이 있으며, 이런 공격을 누가 수행했는지 알아낼 방법은 사실상 없으므로 부작용도 거의 없다. 따라서 스턱스넷은 이스라엘이 선호할만한 무기이다." 이란의 나탄즈에서 사용되는 원심분리기는 P-1으로, 1978년 압둘 카디르 칸이 파키스탄으로 유출한 설계도 가운데 하나이다. 이란은 압둘 카디르 칸의 암시장 네트워크를 통해 이 설계도를 입수했다. 전문가들은 이스라엘이 P-1의 설계도를 입수하여 자국의 네게브 원자력 연구 센터에 설치한 후 스턱스넷을 시험한 것으로 추정한다. 미국은 리비아의 핵 프로그램에서 이 장비를 입수했으며, 이를 이스라엘에 넘겼을 가능성이 있다.
미국.
미국이 이 공격에 개입되었다는 추측도 존재한다. 부시 행정부는 이란의 컴퓨터 시스템을 공격하여 핵 프로그램을 파괴하는 계획이 비밀리에 진행되고 있었다는 보고가 있다. 위키리크스에서 케이블 게이트를 통해 유출시킨 외교문서 가운데는 미국 외교부가 비밀 사보타지를 통해 이란의 핵시설을 파괴할 것을 조언받는 내용이 포함되어 있다. 《와이어드》는 한 기사에서 "스턱스넷은 미국이 개발한 것으로 보인다"고 주장했다. 전직 미국 정보국 공무원인 존 범가너(John Bumgarner)는 스턱스넷이 발견되고 해독되기 전에 이미 원심분리기에 대한 사이버 공격 가능성에 대해 언급했으며, 국제협약을 어기고 우라늄 농축 프로그램을 진행하는 국가에 대해 이런 공격을 감행할 수 있다고 암시하여 이 주장에 신빙성을 더한다. 범가너는 또한 "사이버타지"(사이버 사보타지) 작전의 주요 타겟이 핵무기의 연료를 생산하는 원심분리기이며, 그 회전속도를 변경시켜 원심분리기를 파괴할 수 있음을 지적한다. 1982년 시베리아의 가스 파이프에 큰 폭발을 일으킨 것도 미국 중앙 정보국이 소련에서 입수한 SCADA 소프트웨어를 해킹하여 일어났을 가능성도 제기되고 있다.
백악관의 대량살상무기 제어 담당 보좌관인 개리 사모어(Gary Samore)는 2011년 "(이란) 핵시설의 원심분리기에 문제가 생겼다는 소식에 기쁩니다. 우리 미국과 그 우방국들은 그들의 문제를 더 복잡하게 만들기 위해 최선의 노력을 기울이고 있습니다."라고 말해, 미국이 이 공격에 개입되어 있을 가능성을 시사했다.
다른 국가들.
2011년 4월 이란 정부의 조사결과는 미국과 이스라엘이 공격의 배후에 있는 것으로 결론지었다. 독일의 연구원 Frank Rieger는 미국과 이스라엘이 스턱스넷을 공동 개발했다는데 유럽의 세 개 정보기관이 동의했다고 밝혔다. 코드의 윈도 공격 부분과 PLC 공격 부분은 다른 스타일로 작성되어, 스턱스넷이 공동개발로 제작되었음을 짐작할 수 있다. 그러나 다른 전문가들은 미국과 이스라엘의 정보 및 군사 당국이 서로를 크게 신뢰하지 않아 공동개발의 가능성은 낮다고 생각한다.
중국 또한 이 공격에 참여했을 가능성이 있다고 지목되었으며, 지멘스가 참여했을 가능성도 제기되었다. 랭너는 이란의 시설이 인터넷으로 접근 불가능하므로, USB 드라이브를 통해 전염됐을 것으로 추측하고 있다.
베를린 자유 대학교의 Sandro Gaycken은 이란이 단지 스턱스넷의 진짜 목표를 가리기 위한 허수아비에 지나지 않으며, 전 세계 100,000개 이상의 산업 시설을 목표로 할 수 있는 스턱스넷의 능력을 볼 때 이것은 적국이 사이버 무기에 어떻게 대항하는지 알아보기 위한 실전 테스트라고 주장한다.