시티즌 랩, “국정원 로그파일에 타깃 정보가 있다”

시티즌 랩, “국정원 로그파일에 타깃 정보가 있다”
[시사IN 410호] 고제규·김연희·신한슬·이상원 기자 | 승인 : 2015.07.23 16:38:51


미국의 UC버클리 박사과정을 밟고 있는 빌 마크잭은 캐나다 토론토대학 시티즌 랩(Citizen Lab)의 연구원이다. 캐나다 토론토 대학의 비영리 연구팀 ‘시티즌 랩’은 2014년 2월 이탈리아 해킹팀이 한국을 포함한 세계 21개국에 이 스파이웨어를 판매한 흔적을 찾았다고 발표한 적이 있다. 당시 <워싱턴 포스트>가 주요하게 보도했는데, 에티오피아 등 일부 국가가 해킹팀 스파이웨어를 구매해 인권활동가, 정치인, 기자들에게 사이버 공격을 가했다는 것이 주된 내용이었다. 당시 시티즌 랩은 전 세계 40억 개 IP를 역추적해 해킹팀 스파이웨어가 활동한 국가를 찾았는데, 그 결과 한국 KT IP(211.51.OOO.OOO)에서 스파이웨어가 구동한 흔적을 찾은 것이다.

시티즌 랩 연구에 따르면, KT의 해당 IP에서 2012년 8월 26일부터 2014년 1월 7일까지 해킹팀 스파이웨어가 활동했다. 시티즌 랩이 발표한 21개국은 이번에 유출된 고객 명단에 모두 포함되었다. 1년 전 시티즌 랩이 제기한 의혹이 해킹팀 계약서와 거래 내역이 유출되면서 모두 ‘팩트’로 확인된 셈이다.

▲ 3월 17일 빌 마크잭(왼쪽에서 두번째)은 한국산 최루탄의 추가 수출 중단을 호소하고 바레인 인권침해 상황을 알리기 위해 한국을 방문했다. ⓒ참여연대

빌 마크잭은 클라우디오 과니어, 존 스콧레일턴, 모르간 마르키스부아르와 함께 이 연구를 이끌었다. 시민단체 바레인 워치(Bahrain Watch)의 공동 창립자이기도 한 그는 지난해 3월 17일 한국을 방문한 적이 있다. 한국이 바레인에 최루가스를 수출하는 것에 항의하기 위해 국회에서 기자회견을 열었다(사진). <시사IN>은 해킹팀의 RCS와 관련해 선구적인 연구를 수행한 빌 마크잭과 수차례 이메일 인터뷰를 했다. 그는 최근 국정원 직원이 자살한 뉴스도 알고 있었다. 빌 마크잭은 먼저 자신이 알고 있는 사항을 요약하고 싶다고 했다. 아래 ‘따옴표 안’은 빌 마크잭이 국정원의 해킹 프로그램 구매와 관련해 먼저 설명한 내용이고, 그 다음은 그와의 인터뷰 내용이다.

“(시사IN의) 질문에 답하기 전에 먼저 국정원이 해킹팀 RCS를 어떻게 사용했는지 내가 알고 있는 것들을 요약하고 싶다.

먼저 위키리크스 트위터에서 국정원이 한국인 변호사를 타깃으로 삼았다는 내용은 사실이 아니다. 그들이 이메일을 잘못 읽었다. 한국 변호사가 아니라 몽골 정부가 몽골 변호사를 해킹한 것이 맞다.

우리(시티즌 랩)는 국정원이 해킹팀에 보낸 이메일을 통해 RCS로 카카오톡을 해킹할 수 있게 수정해 달라고 요청한 사실을 알고 있다. 왜냐하면 카카오톡이 “한국에서 널리 쓰이기 때문”이다. 같은 이메일에는 국정원이 RCS로 2014년 6월 휴대폰(아이폰, 안드로이드)을 도감청하고 싶어 했다는 내용도 있다. 이 이메일은 또한 국정원이 TNI를 샀다고 말하고 있다. TNI는 에이전트(RCS 프로그램)를 랜을 통해 심어서 그 랜을 사용하는 사람을 타깃으로 삼는 컴퓨터다. 또한 TNI를 통해 해킹 프로그램은 가짜 와이파이 핫스팟을 만들어 거기에 접속하는 사람을 감염시키거나, 타인의 와이파이를 해킹해 그들을 감염시킬 수 있다.

또 다른 이메일에서 국정원은 그들이 한국 안드로이드 휴대폰에서 RCS로 음성 녹음을 하려고 했지만 작동하지 않았다고 말한다. 그래서 그들은 한국 휴대폰의 샘플 몇 개를 해킹팀에 테스트하기 위해 보냈다. 이것은 국정원이 한국 안드로이드 휴대폰을 쓰는 사람을 타깃으로 하고 있다는 것을 알려준다.”

▲ 2014년 2월 23일 에티오피아 해직기자들의 위성방송(ESAT)에 출연한 빌 마크잭. ESAT은 2013년 12월 12일 이탈리아 해킹팀의 스파이웨어 RCS 공격을 당했다.

지난해 발표 자료를 보면 한국 KT IP가 나온다. 어떻게 찾았나?
전체 인터넷 스캐닝을 통해 그것을 찾았다. 각각의 IP가 해킹팀 스파이웨어의 지문과 맞는지 확인했다. 다른 해킹팀 스파이웨어 샘플에 들어간 IP 주소를 검사해서 지문을 만들었다. 이런 종류의 분석은 컴퓨터 과학 전문가가 하는 것이 가장 좋다.

국정원은 북한 사이버 공격에 대한 방어용이었다고 해명하는데?
굉장히 의심스럽다. 자살한 국정원 직원이 RCS로 감시하던 사람에 대한 증거를 없앴다는 소식을 들었다. 그는 RCS로 북한 사람만 감시했고 국내에서는 사용하지 않았다고 주장했다. 만약 RCS로 수집한 증거가 그의 주장을 뒷받침하는 것이라면, 왜 증거를 파괴한단 말인가?

유출된 메일을 보면, 지난해 시티즌 랩의 연구발표 이후 국정원이 RCS 사용이 노출될까 봐 걱정하는 대목이 있다.
국정원이 과거에도 정치인이나 기자들의 휴대폰을 도·감청한 것으로 알고 있다. 그래서 국정원은 아마도 “국정원이 또다시 국내 한국인들을 도청했다”라고 사람들이 생각할까봐 걱정했을 것으로 보인다. 우리는 여전히 국정원이 RCS로 누구를 감시했는지 확실하게 알지는 못한다. 따라서 우리는 이제부터 스파이웨어의 오·남용이 있었는지 밝히는 작업을 해야 한다. 국정원이 스파이웨어를 이메일을 통해서 보냈던 만큼, 그 증거는 타깃의 이메일에 여전히 남아 있을 가능성이 있다. 최고의 전략은 최대한 많은 정보(국정원이 사용하던 웹사이트 주소, 파일 이름, 파일 내용 등)를 공개해 사람들이 자신의 이메일 계정에 이 파일이 있는지 검색해 보는 것이다.

해킹팀이 국정원에 공급한 RCS에 ‘WCOUQarb’라는 워터마크를 부여했는데, 이 워터마크를 통해 추가로 알 수 있는 정보는 무엇인가?
한국인 타깃들에게 보내진 RCS 스파이웨어를 찾는다면 도움이 될 수 있다. 우리가 그 스파이웨어에 이 워터마크가 있는 것을 발견하면, 다른 외국 정부가 아닌 국정원이 그 스파이웨어를 보냈다는 것을 증명할 수 있다. 만약 우리가 한국인 타깃에게 보내진 RCS 스파이웨어 샘플을 찾을 수 있다면 워터마크가 유용할 것이다.

최근 국정원이 국회의원들의 현장조사 참여에 동의했는데?
농담 따먹기 하는 것이나 마찬가지 소리다. 컴퓨터 전문가가 아닌 국회의원들이 국정원에 가면 3~4시간 동안 아무것도 찾아낼 수 없다. 진짜 조사라면 컴퓨터를 컴퓨터 포렌식 전문가에게 줘야 한다. 그리고 포렌식 전문가에게 보고서를 준비하라고 해야 한다.

안랩의 창업자이자 현직 국회의원인 안철수 의원이 국정원에 RCS 로그 파일을 요구했다.
많은 안티바이러스 회사들은 클라우드 기반 서비스를 하고 있다. 타깃 컴퓨터로부터 의심스러운 파일은 이 클라우드에 업로드되고, 어디서부터 업로드되었는지 기록된다. 안티바이러스 회사가 해킹팀의 RCS 샘플을 최근 몇 년 동안 봤을지도 모르지만, 그 스파이웨어가 RCS인지 알아내는 방법을 모를 수 있다. 만약 나를 한국의 안티바이러스 회사에 소개해 준다면, 나는 기술적인 정보(해시, IP 주소, 도메인 이름)를 줄 수 있다. 안티바이러스 회사가 바이러스 데이터베이스를 검색해 국정원의 한국 타깃이 있는지 밝혀낼 수 있을지도 모른다.

해킹팀의 RCS 매뉴얼을 읽어봤는데, 용량 때문에 한 달에 한 번씩 오래된 로그 파일을 지우라는 충고가 있었다. 그러면 조사할 로그 파일이 이미 삭제되었을 수도 있다는 얘기 아닌가? 만약 삭제되었다면 복구할 수 있는가?
아마 국정원이 다른 컴퓨터나 서버에 로그파일을 백업해 놓았을 수도 있다. 그렇지 않다면 모든 로그 파일을 복원할 수는 없을 것이다. 만약 컴퓨터 포렌식 전문가들이 국정원 컴퓨터를 조사할 수 있다면, 파일 일부는 복원할 수 있을지도 모른다.

▲ 7월 19일 경찰이 자살한 국정원 직원 임아무개씨 유서 원본을 공개했다. 임씨는 유서에서 관련 자료를 삭제했다고 밝혔다. ⓒ시사IN 신선영

당신이라면 타깃을 밝히기 위해 국정원으로부터 어떤 파일이나 정보를 요구하겠는가?
나라면 국정원이 해킹팀 RCS로 타깃을 감시했던 컴퓨터의 모든 하드 드라이브를 달라고 할 것이다. 이것이 진실을 확실하게 밝혀낼 수 있는 가장 좋은 방법이다. 다른 방법으로 국정원 컴퓨터에 대한 진지한 조사는 불가능하다. 국정원이 국가 기밀 등 보안상의 이유로 하드 드라이브를 넘기고 싶어 하지 않는다면, 나는 국회의원들이 3~4시간의 국정원 현장조사를 영상으로 녹화해야 한다고 생각한다. 국정원측이 컴퓨터 화면에 무엇을 띄워서 보여주는지 정확하게 녹화해야 한다. 또한 국회의원들이 모든 로그 파일들의 복사본을 달라고 해야 하며, 그 파일을 보안 전문가들과 공유해야 한다.

자살한 국정원 직원은 일부 데이터를 지웠다고 말했다. 국정원은 이 정보를 모두 복원할 수 있다고 말했다. 이것이 가능한가?
국정원이 매일, 혹은 매주 컴퓨터를 백업했을 수도 있고, 다른 어딘가에 정보를 백업해서 갖고 있을 수도 있다. 복구가 가능할 수도 있다. 하지만 자살한 국정원 직원이 해킹팀의 RCS를 사용하는 팀을 이끈 것으로 보이기 때문에, 그렇다면 나는 그가 회복이 불가능하도록 증거를 지우는 방법을 정확히 알고 있었을 거라고 의심한다.

한국에 와서 해킹팀에 대한 연구를 발표할 수 있나?
가능하다. 나는 기꺼이 한국을 방문해서 RCS와 국정원에 대해 이야기하겠다. 나아가 사람들과 만나서 그들의 G메일 계정과 컴퓨터와 휴대폰을 검사해 그들이 타깃이었다는 증거를 찾을 수도 있다. 나는 2015년 5월, 6월에 안드로이드 브라우저 피싱을 이용해 타깃이 되었거나 감염된 사람들에 대한 정보를 찾았다. 3개월 동안 3개의 타깃이 성공적으로 감염되었는데, 두 개는 한국이고 1개는 러시아였다. 국정원이 성공적으로 감염시킨 한국 타깃 가운데 하나만 공개하겠다.

IP Address: 223.62.169.2
Country: Korea
Referrer(the website that had the exploit on it): cdc-asia.org
Date/time: Thu, 04 Jun 2015 15:33:24 (Korea Time)
Phone language: Korean
Phone: SHV-E250S(Galaxy Note 2 / Korean / SK Telecom Edition)
Android Version: 4.3

이것은 한국에 있는 한국인 타깃이다. 이 타깃은 SKT 버전 갤럭시 노트2를 쓰고 있고, 이 휴대폰은 한국어를 쓰도록 설정되었고, 물리적으로도 한국에 있었다.


출처  시티즌 랩, “국정원 로그파일에 타깃 정보가 있다”