국정원으로 알려진 '5163부대'는 주로 보이스피싱 사기단들이 사용하는 '스미싱' 방법을 사용해 목표가 되는 인사의 스마트폰을 감청한 것으로 드러났다. 스미싱은 'SMS'와 '피싱'의 합성어로, 스마트폰 문자로 악성코드를 보내 설치하는 방식을 의미한다.
한국일보가 5163부대와 이탈리아 업체 해킹팀이 2013~2015년 교환한 이메일을 분석한 결과, 국정원 측은 해킹팀 측에 지속적으로 스마트폰에 악성코드를 심을 수 있는 '안드로이드폰용 URL(웹주소)'를 요구했다. 널리 알려진 사이트의 URL을 보내면서 "이 사이트로 자동 연결되는 악성코드 URL을 몇 개 만들어 달라"는 식의 이메일이다.
국정원이 해킹팀에 악성코드를 심을 수 있는 URL을 만들어 달라고 하면서 보낸 이메일. 테스트용이 아닌 'REAL target'의 스마트폰에 심을 것이라고 강조하고 있다. 첨부파일은 해당 스마트폰에 심을 악성코드 파일이며, destination URL로 나와 있는 사이트는 악성 사이트가 아닌 멀쩡한 사이트다. (한국일보)
국정원이 '목표물(target)'이라 칭한 감시 대상이 무심코 문자메시지로 온 URL을 누르면 악성코드가 심어지는 웹사이트로 연결되고 자동으로 .apk 형식의 악성프로그램이 설치된다. 여기에는 '자동 루팅(self-looting)' 기능이 들어있기 때문에 사용자가 구글 플레이스토어 등이 아닌 외부에서 온 apk 파일을 설치하지 못하는 기능을 설정해 두었다 하더라도 소용이 없다. '루팅'이란 스마트폰의 최고 관리자 권한을 얻는 것을 말한다.
셀프루팅이 되는 스마트폰 모델에 대해 질의한 이메일 (한국일보)
국정원은 안드로이드 공격에 가장 심혈을 기울인 것으로 보인다. 해킹팀과 가장 많은 이메일이 오갔다. 일례로 악성코드를 설치하는 중에는 웹브라우저에 'redirecting'이라는 표시가 나오는데, 국정원 측은 그보다 'loading' 같은 표현이 더 낫지 않겠느냐는 질의를 하기도 했다.
악성코드가 설치되는 중에 'redirection...'이란 메시지가 나오는데 이보다 'loading' 같은 단어가 낫지 않겠냐며 질의하는 이메일 (한국일보)
또한 일부 스마트폰 모델에서는 악성프로그램이 설치가 안 되는 경우도 있고, 어떤 모델에서는 이 같은 설치 시간이 너무 오래 걸린다는 불만을 표시하기도 했다.
갤럭시 S3에서 악성코드가 잘 설치되지 않는다는 불만과, 갤럭시 노트2에서는 설치하는 데 40초나 걸린다는 불만을 보낸 이메일 (한국일보)
삼성 안드로이드 앱 사이트로 연결되도록 하면서 악성프로그램을 심는 URL을 만들어달라는 요청. (한국일보)
공격한 목표물의 스마트폰은 곧 국정원이 마음대로 통화내역과 SMS, 이메일 등을 들여다볼 수 있게 노출됐다. 일례로 국정원은 2013년 5월 실제 자신이 감시하는 사람의 통화내역을 해킹팀 프로그램인 리모트 콘트롤 시스템(RCS)에서 확인한 캡쳐 화면을 전송하면서, 전화번호뿐 아니라 전화번호부에 있는 이름까지도 표시해 달라는 요청사항을 보내기도 했다. 이어 "확인해 줘서 고맙다. 다음 패치를 기다리겠다"는 메일을 보낸 것으로 보아, 해킹팀은 다음 버전에서 해당 기능을 지원하겠다고 약속했던 것으로 추측된다.
한국일보 보도에서 나타났듯, 실제 국정원의 요청에 대한 답변에서 해킹팀은 갤럭시 시리즈의 음성통화 녹음은 불가능하고 iOS5~7은 취약점 공격 파일을 만들 수 없다고 답했다. 물론 이 답변은 지난해 3월의 상황이고 그 사이에 업데이트가 이뤄졌을 수 있다. 하지만 2015년까지 교환한 이메일 어디에서도 아이폰 공격 파일이 오가지 않은 것으로 보아 실제 그러한 업데이트가 이뤄졌을 가능성은 높지 않을 것으로 보인다.
국정원이 해킹팀에 안드로이드 공격 다음으로 자주 요청한 것은 PC를 통한 공격이었다. PC에 악성 프로그램을 설치하는 요청은 주로 두 가지 방식으로 이뤄졌는데, 하나는 악성 프로그램을 설치하는 URL을 달라는 것이고, 다른 하나는 마이크로소프트 워드와 파워포인트 파일에 악성 프로그램을 심어달라는 요청이었다. 전자는 안드로이드 공격 방식과 같아서, 해당 URL을 클릭하면 악성 프로그램이 PC에 자동 설치된 후 멀쩡한 다른 사이트로 연결되는 식이다.
에이전트라는 악성 프로그램을 설치하기 위한 테스트 URL을 요청하고 있다. (한국일보)
두 번째 방식은 상당수 사람들이 마이크로소프트 윈도는 최신 버전으로 보안 패치 프로그램을 받아 취약점 공격에 당하지 않는 반면, 워드나 파워포인트 같은 MS 오피스의 취약점을 보완하는 프로그램은 업데이트하지 않는 경우가 많다는 점을 노린 것으로 보인다. 이때 사용된 파일은 미디어오늘 기자를 사칭한 천안함 관련 의문점, 서울대 공대 남가주 동문명단, 이력서 잘 쓰는 법(영문) 등이 있었다.
천안함 관련 문서 등에 악성코드를 심어달라고 요청하고 있다. (한국일보)
이 같은 파일에 악성코드를 심어 목표물에게 이메일로 첨부해 보낸 후, 목표물이 이 첨부파일을 열어 실행시키면 사용자의 PC를 국정원이 손금 보듯 볼 수 있는 것이다. 실제로 국정원은 "새로 보낸 ppsx(파워포인트 파일에 악성코드를 심은 것)가 내 새로운 목표물(PC)에서 잘 작동하고 있다는 것을 확인했다"는 이메일을 보내기도 했다.
"새 목표물(의 PC)에서 잘 동작하고 있다" (한국일보)
과연 국정원이 각종 공격 파일을 보내 스마트폰과 PC를 장악한 '목표물'은 누구였을까? 가장 궁금한 대목이다.
글쓰기