[디지털투데이 박근모 기자] 유럽과 미국 등지에서 큰 피해를 주고 있는 페트야 랜섬웨어가 개인을 상대로 금전을 요구하기보다 특정 공공기관이나 국가를 타깃으로 하고 있다는 주장이 제기되고 있다. 특히 페트야 랜섬웨어로 인한 감염으로 시스템이 마비된 2000여대의 PC 중 60%가 초기 출현지인 우크라이나에 집중됐다는 점에서 해당 의견이 힘을 얻고 있다.

뉴욕타임스(NYT), 비즈니스인사이더 등 외신에 따르면 페트야 랜섬웨어로 인해 우크라이나 중앙은행과 키예프 공항 및 지하철 등 우크라이나 내 주요 공공시설을 마비 시켰고, 은행 등 일부 금융사도 시스템 마비로 인해 피해를 입을 것으로 나타났다.

또한 글로벌 5대 제약사 중 하나인 미국 제약회사 머크, 러시아 국영 석유회사 로스네프트, 영국 광고회사 WPP, 프랑스 자동차 유리 생산기업 생고뱅, 글로벌 최대 해운사인 덴마크의 A.P몰러머스크, 호주의 초콜릿 제조사 캐드버리 등 글로벌 규모의 대기업과 주요 공공기관들이 주 타깃이 된 것으로 전해졌다.

여기에 우크라이나의 체르노빌 원전 시스템에도 페트야 랜섬웨어 공격을 받아 방사능 모니터링 시스템을 수동으로 비상 운영하는 등 개인보다는 특정 목적을 위한 것이 아니냐는 분석이 나오고 있다.

페트야 랜섬웨어로 인해 첫번째 피해 사례로 알려진 우크라이나 정부는 공식 트위터를 통해 "유례없는 사이버공격에 민간기업과 일부 공공시설들이 공격당했다며, 문제 해결을 위해 노력 중"이라고 설명하기도 했다.

카스퍼스키랩은 페트야 랜섬웨어의 주 목적이 금전 확보보다는 특정 목적을 위한 타깃형 공격의 가능성에 집중하고 잇는 것으로 알려졌다. 워너크라이 등 지금까지 발생한 대부분의 랜섬웨어는 파일을 암호화했다가 복호화를 이유로 금전 지불을 요구했지만, 페트야 랜섬웨어는 PC 시스템의 MBR(마스터 부트 레코드)와 MFT(마스터 파일 테이블) 등을 암호화 및 손상시켜 부팅 자체를 불가능하게 만들기 때문이다. 또한 페트야 랜섬웨어가 300달러(한화 약 34만원) 상당의 비트코인을 요구하는 '랜섬노트'를 띄우기는 하지만 비용 지불 방법이나 복구 방법이 어렵게 구성돼 있다.

보안업계에 따르면 페트야 랜섬웨어는 복구를 고려하지 않은 사이버공격 형태의 악성코드로 보이며 원래는 내부망의 PC를 감염시키기 위한 것이지만 일부 PC의 서브넷마스크 설정이 외부로 나가도록 잘못 설정해둔 탓에 우크라이나 외 다른 나라로 전파됐을 가능성이 있다.

페트야 랜섬웨어는 지난달 발생해 전세계 큰 피해를 입힌 워너크리아와 유사한 윈도 운영체제(OS)의 SMB 취약점을 이용한다. 특히 페트야 랜섬웨어는 미국 국가안보국(NSA)이 만든 해킹툴 '이터널블루'의 소스코드를 차용해서 만들어진 것으로 알려졌다. 이터널블루는 현재 해킹그룹 '쉐도우브로커스'가 탈취한 상태며, 쉐도우브로커스는 NSA와 CIA 등에서 입수한 해킹툴을 매달 공개한다고 밝힌바 있다.

페트야 랜섬웨어 감염에 대비하기 위해서는 마이크로소프트(MS)가 제공하는 윈도OS 보안 업데이트를 최신 상태로 유지해야한다. MS에 따르면 현재 페트야 랜섬웨어의 주 공격수단인 SMB 취약점은 지난달 보안 업데이트를 통해 모두 해결한 상태다. 또한 국내외 보안업체들이 제공하는 보안 솔루션도 최신 상태로 유지하는 것이 좋다.

이번 페트야 랜섬웨어의 경우 SMB 취약점 뿐만 아니라 이메일 등에 문서 첨부 파일 형태로도 전파되는 것으로 알려졌다. 이에 출처를 알 수 없는 의심스러운 파일의 경우 다운로드 받거나 실행하면 안된다.

보안업계에 따르면 페트야 랜섬웨어뿐만 아니라 다양한 랜섬웨어 등 사이버공격을 대비하기 위한 가장 좋은 방법으로 중요 데이터 '백업'을 꼽았다.

최상명 하우리 CERT 실장은 "랜섬웨어는 일단 감염되면 복호화 키를 얻기 전까지 해결 방법이 사실상 없다"라며 "만일 평상시에 중요 데이터를 백업해 뒀다면 해커들에게 비트코인을 지불하고 복호화 키를 받지 않더라도 손쉽게 암호화된 데이터를 복구 할 수 있다"고 전했다.

한편, 비트코인 블록체인에 따르면 우리시간 오전 10시 기준 페트야 랜섬웨어의 비트코인 지갑(1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX)에는 총 45건의 거래 내역이 존재하는 것으로 확인됐다.