개요편집이의 제기
스턱스넷(Stuxnet)은 2010년 6월 벨라루스의 보안 업체 VirusBlokAda 연구원 세르게이 울라센(Sergey Ulasen)에 의해 처음 발견된 악성 컴퓨터 웜이다.[2][3] 마이크로소프트 윈도우 운영체제를 통해 감염되며, 지멘스(Siemens)의 SCADA(감시 제어 및 데이터 수집) 시스템과 프로그래머블 로직 컨트롤러(PLC)를 표적으로 삼아 산업 시설을 감시하고 물리적으로 파괴하는 최초의 악성 소프트웨어로 기록된다.[2] 웜과 루트킷 기능을 동시에 갖추고 있으며, 이란의 나탄즈(Natanz) 우라늄 농축 시설을 겨냥해 원심분리기를 오작동시켜 파괴한 것으로 널리 알려져 있다.[2][3]
역사·유래편집이의 제기
발견과 명명
2010년 6월 중순 VirusBlokAda가 처음 식별했으며, 초기에는 "Rootkit.Tmphider" 또는 시만텍(Symantec) 분류명 "W32.Temphid"로 불렸다.[3] 코드 내에 ".stub"와 "mrxnet.sys"라는 문자열이 반복 등장해 현재 이름인 스턱스넷으로 굳어졌다.[3] 브라이언 크렙스(Brian Krebs) 기자가 2010년 7월 15일 블로그에 게시하면서 전 세계에 알려졌다.[2][3] 같은 날 산업 제어 시스템 보안 관련 대형 메일링 리스트 두 곳에 DDoS 공격이 발생해 한 곳이 마비되었으며, 이는 스턱스넷 관련 세력의 소행으로 추정된다.[2]
변종과 개발 일정
카스퍼스키 랩(Kaspersky Lab)은 최초 유포 시점을 2010년 3~4월로 보았으나, 이후 분석에서 첫 변종이 2009년 6월부터 존재했음이 밝혀졌다.[2][3] 2010년 3월 전파 속도가 느리다고 판단한 개발자가 대폭 개선된 두 번째 변종을, 4월에는 세 번째 변종을 배포했다.[2][3] 시만텍은 2007년 11월 이란 핵 프로그램을 공격한 초기 버전을 별도로 확인했으며, 개발 착수는 2005년 이전으로 거슬러 올라간다.[3] 웜 내부에는 2010년 2월 3일자 빌드 타임스탬프가 남아 있다.[3]
후속 발견
2012년 7월 이란 원자력청이 호르모즈간 주 발전소 등 남부 산업 시설에 새로운 스턱스넷 변종 공격이 있었다고 발표했다.[3] 카스퍼스키는 러시아 원자력 발전소도 감염됐으나 공인망과 격리돼 피해는 없었다고 밝혔다.[3] 2015년 카스퍼스키는 이퀘이션 그룹(Equation Group)이 스턱스넷에 쓰인 두 제로데이 익스플로잇을 2008~2009년 자사 악성코드 'fanny.bmp'에서 먼저 사용했음을 확인했다.[3] 2019년 크로니클(Chronicle) 연구자들은 이퀘이션 그룹, 플레임(Flame), 두쿠(Duqu), 플라워숍(Flowershop/Cheshire Cat) 등 최소 네 개 위협 행위자 플랫폼이 'GOSSIP GIRL'이라는 협력 체계 아래 스턱스넷 변종 개발에 공동 참여했음을 제시했다.[3] 2020년 연구자 파쿤도 무뇨스(Facundo Muñoz)는 이퀘이션 그룹이 2009년 스턱스넷 개발자에게 최소 한 개의 제로데이 익스플로잇을 제공했을 가능성을 제기했다.[3]
규제·논란·평가편집이의 제기
개발 주체와 국가 개입 여부
카스퍼스키 랩과 F-시큐어(F-Secure) 수석연구원 미코 휘푀넨(Mikko Hyppönen)은 "이 정도 정교함은 국가 단위 지원 없이는 불가능"하다고 결론 내렸다.[2][3] 랄프 랑너(Ralph Langner)는 2010년 9월 이스라엘 모사드 관여를, 2011년 2월 TED 강연에서는 "주도 세력은 이스라엘이 아닌 사이버 초강대국 미국"이라고 수정했다.[2] 시만텍은 개발팀 규모 5~30명, 준비 기간 6개월로 추정했다.[2]
이스라엘 연루설: 전직 미 국토안보부 고위관리 리처드 폴켄라스(Richard A. Falkenrath), 하레츠(Haaretz) 기자 요시 멜만(Yossi Melman) 등은 이스라엘 8200부대 관여를 지목했다.[2] 가비 아슈케나지(Gabi Ashkenazi) 전 이스라엘 방위군 참모총장이 은퇴 기념 영상에서 스턱스넷을 "성공적 작전" 중 하나로 언급해 간접 인정했다는 보도도 있다.[2][3] 이스라엘이 네게브 원자력 연구센터에 P-1 원심분리기를 설치해 스턱스넷을 시험했을 것이라는 분석도 있다.[2]
미국 연루설: 부시 행정부 시절부터 이란 컴퓨터 시스템 공격 계획이 비밀리에 진행됐다는 보도와 위키리크스 외교문서 유출 내용이 근거로 제시된다.[2][3] 게리 사모어(Gary Samore) 백악관 대량살상무기 조정관은 2011년 "이란 원심분리기 문제에 기쁘다. 미국과 우방국이 그들의 일을 복잡하게 만들려 최선을 다하고 있다"고 발언해 사실상 개입을 시인했다.[2][3] 뉴욕타임스는 2012년 6월 스턱스넷이 NSA 주도로 부시 행정부에서 기획돼 오바마 행정부에서 확대 실행된 '올림픽 게임 작전(Operation Olympic Games)'의 일환이라고 보도했다.[3]
공동 개발설: 프랑크 리거(Frank Rieger)는 유럽 3개 정보기관이 미·이스라엘 공동 개발에 동의했다고 전했다.[2] 윈도우 공격부와 PLC 공격부 코드 스타일이 달라 복수 팀 협업 정황이 있다.[2] 반면 미·이스라엘 정보기관 간 불신 탓에 공동 개발 가능성은 낮다는 반론도 존재한다.[2]
기타 설: 중국 개입설, 지멘스 내부 관여설, 이란을 미끼로 삼아 전 세계 10만여 산업 시설을 겨냥한 사이버 무기 실전 테스트라는 주장(산드로 가이켄, 베를린 자유대)도 제기됐다.[2]
효과와 한계에 대한 평가
ISIS 2011년 2월 보고서는 "이란이 주의를 기울이면 더 이상 원심분리기 파괴는 어렵다. 악성코드 제거에 성공한 것으로 보인다"면서도 "LEU(저농축 우라늄) 2010년 생산량 증가를 막지는 못했으나 증가 폭을 억제한 데 스턱스넷 역할이 컸다"고 평가했다.[2] 왜 1,000기만 파괴했는지, 사이버 공격으로 원심분리기를 파괴하는 것이 예상보다 어려운지 의문으로 남았다.[2] 미국 과학자 연맹(FAS)은 2010년 이란 농축 능력이 오히려 60% 향상됐다며, 이란이 피해를 과장해 허위 정보를 흘렸을 가능성도 지적했다.[2]
법적·윤리적 논란
자기 삭제·전파 제한·비표적 시스템 무해화 등 안전장치는 "법적 책임을 회피하려 설계된 것"으로 해석돼 서방 정부 개입을 뒷받침한다는 견해가 있다.[2] 브루스 슈나이어(Bruce Schneier)는 "스턱스넷 보도는 과장됐으며 대부분 추측"이라고 반박했다.[2] 산업 제어 시스템 보안 패러다임을 바꾼 전환점으로, 이후 듀크(Duqu), 플레임(Flame), 레긴(Regin) 등 국가급 APT 악성코드 계보의 시초로 평가받는다.[2]
여파와 후속 대응편집이의 제기
이란은 스턱스넷 공격 후 사이버전 능력을 대폭 강화했으며,[3] 2012~2013년 '아바빌 작전(Operation Ababil)' 미국 은행 공격, 2012년 사우디 아람코(Saudi Aramco) 샤문(Shamoon) 공격, 2014년 라스베이거스 샌즈(Las Vegas Sands) 공격 등 보복성 해킹을 감행한 것으로 의심받는다.[3] 지멘스는 탐지·제거 도구를 배포하고 USB 사용 자제, 윈도우 패치 적용, 비밀번호 변경, 고객센터 신고 등을 권고했다.[2] 시만텍 리암 오머추(Liam O'Murchu)는 "윈도우만 고쳐선 완전 해결 안 된다"고 경고했으나, 지멘스는 발견 4개월 내 22개 고객사 시스템에서 성공적으로 제거했다고 보고했다.[2] PLC 재프로그래밍 기능 탓에 제거 과정에서 실수 시 설비 손상 우려가 컸다.[2]
이 문서는 GGWiki AI가 공개 자료(아래 출처)를 조사해 새로 쓴 초안입니다. 틀린 내용은 편집하거나 이의 제기로 알려 주세요.
