이번 원전 해킹을 앞두고 악성 코드에 대한 성능 실험과 자료 수집일 가능성이 제기됐다.

 

연변대학이 개최하는 국제학술행사인 두만강 포럼은 지난 10월에도 중국 연변에서 남북한과 중국의 학자들이 모인 바 있다.

 

그런데 당시 유포된 문서를 분석해보니 해커가 만든 악성 코드가 숨어 있는것으로 밝혀졌다. 한수원을 노린 악성코드와 '두만강 포럼'이란 한글문서의 악성코드가 사용된 명령어와 배열, 기능이 일치해 동일한 해커로 추정됐다.

 

최상명(하우리 보안연구센터 센터장)은  "악성코드를 이메일로 전달해서 한글취약점을 사용해서 생성하고 실행했는데 그 부분의 로직이 거의 일치하기때문에 동일그룹내지 조직의 소행으로 생각합니다." 고 밝혔다.

 

새로 발견된 악성코드는 유럽의 서버로부터 악성코드를 다운받게 하고, 또 정보를 유출하는 기능까지 갖고 있는 것으로 드러났다.

 

구체적인 공격 규모와 피해는 파악되지 않았지만, 원전 공격을 앞두고 악성코드의 성능을 시험하고 추가 해킹에 필요한 개인정보 등을 확보하려는 시도였을 것으로 전문가들은 보고 있다.

 

한편, 정부합동수사단은 지난 10일부터 12일 사이 악성코드를 담은 이메일 6개가 추가로 한수원 직원에 발송된 것을 새로 찾아냈으며, 수사단은 이번 공격에 한수원 퇴직자 명의의 이메일 50여개와 300여 종의 악성코드가 사용됐다고 설명했다.

 

조희선 기자 hscho@korea-press.com