안랩, 변종 디도스 악성코드 추가 확인

안랩은 지난달 25일 정부기관을 노린 디도스(분산 서비스 거부) 공격 악성코드 분석 결과 변종 악성코드인 ‘DNS 증폭 디도스(DNS Amplification DDoS)’ 를 추가로 발견했다고 1일 밝혔다.

DNS서버는 웹 사이트 이용자들이 영문 도메인 주소를 입력하면 이를 실제 웹사이트로 연결시켜주는 기능을 한다.

DNS 증폭 디도스 공격이란 출발지의 IP를 변경하여, 응답이 조작된 출발지 IP로 가도록 하는 공격방식이다. 전송되는 응답의 크기가 일반적인 경우에 비해 수십 배 이상의 크기가 되도록 유도해 대상을 마비시킨다. 이는 이미 해외에서도 여러 차례 피해사례가 보고된 바 있는 공격방식이다.

예를 들어 한 사람이 휴대전화 문자 메시지를 보내면서 발신자 전화번호를 다른 사람의 전화번호로 바꿔 수 천명에게 문자를 보내면 그에 대한 답신 문자가 사칭한 휴대전화로 집중되는 것과 같은 원리를 이용한 것이다.

실제로 이번 변종 디도스 악성코드는 일반 PC 감염 이후, 자신이 감염시킨 PC의 IP주소를 공격 타깃인 특정 정부기관의 DNS서버의 IP로 위장했다. 이후 약 2만여개의 다른 DNS서버로 특정 도메인 이름에 대한 확인요청을 일시에 보냈다. 이 요청에 대한 응답은 1000바이트 이상으로 일반적인 요청의 수십 배에 달한다.

요청을 받은 DNS서버들은 이에 대한 응답을 최초에 악성코드가 위장한 특정 정부기관의 DNS서버(최종 타깃)로 집중시켜 서버 과부하를 일으키게 된다.

안랩은 “이번 변종 디도스 악성코드의 제작 시각은 6월 25일 20시 경이며, 27일 의심 IP를 모니터링 하는 과정에서 발견했다”며 “이번에 발견된 악성코드 자체가 변종이므로 추가 변종이 발견될 가능성도 배제할 수 없다”고 말했다.

안랩은 지난 26일과 27일에 각각 제공한 디도스 유발 악성코드·악성 스크립트 전용백신에 이어 이번 ‘DNS 증폭 디도스’ 공격을 유발하는 악성코드에 대한 전용백신도 제공할 예정이다. 악성코드 분석결과를 한국인터넷진흥원(KISA) 등 유관기관에 공유했다.