[서울=뉴시스]박영환 기자 = 중국과 연계된 것으로 분석된 감시용 악성 소프트웨어(스파이웨어) ‘라이트스파이’가 미국과 유럽 등 최소 13개국의 표적을 노린 정황이 포착됐다. 이 프로그램은 스마트폰과 컴퓨터에 저장된 정보를 빼낼 뿐 아니라 데이터를 지우고 기기가 정상적으로 켜지지 않게 할 수도 있다.

6일(현지시간) 미국 정보기술(IT) 매체 테크크런치에 따르면 사이버보안업체 아틱 울프는 중국 본토를 중심으로 활동하던 라이트스파이가 미국과 유럽 등 13개국 이상에서 표적을 노린 정황을 확인했다고 밝혔다. 다만 13개국 전체 명단과 국가별 감염·피해 규모는 공개하지 않았다. 연구진은 최근 운영 활동이 중국 소재 한 업체와 연결되는 단서도 찾았다. 이 업체의 이름과 라이트스파이 개발·판매·운영 과정에서 맡은 역할은 공개되지 않았다.

스파이웨어는 기기 주인 몰래 작동하며 위치나 대화 내용, 비밀번호 등을 훔쳐보는 프로그램이다. 2018년 처음 발견된 라이트스파이는 공격할 기기에 맞춰 필요한 기능을 골라 붙일 수 있는 ‘모듈형’ 스파이웨어다. 스마트폰과 PC, 서버 등 기기 종류가 달라도 각각에 맞는 공격 기능을 추가할 수 있다는 뜻이다.

라이트스파이는 기기 운영체제나 프로그램의 보안상 허점을 파고든다. 기기에 침투하면 정밀한 위치정보와 음성 녹음, 메신저 대화, 사진·영상, 화면 녹화 자료, 저장된 비밀번호 등을 빼낼 수 있다.

연구진은 감염된 기기의 데이터를 원격으로 지우거나 운영체제에 필요한 파일을 삭제하는 기능도 코드에서 확인했다. 이 기능이 작동하면 기기가 정상적으로 켜지지 않아 사용할 수 없는 상태가 될 수 있다. 다만 실제 공격에서 이러한 기능이 사용된 사례와 빈도는 확인되지 않았다.

라이트스파이는 특정 해킹 조직만 사용하는 도구를 넘어 여러 고객에게 판매되는 상품처럼 운영된 것으로 분석됐다. 가격 등급과 요금 청구 체계를 갖췄고, 고객에 맞춰 이름과 화면을 바꾸거나 구매 전에 기능을 시험해 볼 수 있는 시연 환경도 제공했다. 아틱 울프는 정부기관과 기업, 군 조직 등이 고객이라고 설명했다. 여러 나라에 있는 최소 117개의 서버가 라이트스파이 운영에 사용된 것으로 파악됐다.

라이트스파이 운영자를 추적하는 단서가 된 것은 치킨 주문이었다. 연구진에 따르면 운영자 한 명이 라이트스파이의 관리자용 화면을 이용해 KFC 음식을 주문하면서 실제 이름과 사무실 주소를 남겼다. 연구진은 이 정보를 토대로 라이트스파이의 최근 운영 활동과 중국 소재 업체 사이의 연결 정황을 찾아냈다.

아틱 울프는 앞서 지난 2024년 라이트스파이 배후가 중국 정부의 지원을 받는 것으로 평가되는 해킹 조직 ‘APT41’과 연결돼 있다고 분석했다. 그러나 이번에 포착된 중국 소재 업체가 중국 정부나 군의 계약업체라는 사실은 확인되지 않았다.

공격 대상도 넓어졌다. 연구진은 여러 기기를 인터넷에 연결해 주는 라우터에서도 라이트스파이를 발견했다. 라우터가 감염되면 공격자는 같은 네트워크를 오가는 정보를 들여다보고 스마트폰이나 컴퓨터 등 다른 기기에 접근할 발판을 마련할 수 있다.

아틱 울프는 감염된 라우터 가운데 일부가 북대서양조약기구(NATO·나토) 회원국과 관련돼 있다고 밝혔다. 나토 본부나 회원국 정부망이 감염됐다는 뜻은 아니다. 아틱 울프는 이번 사례가 고급 감시 도구가 특정 조직의 자체 사용을 넘어 여러 고객에게 판매되는 상업 서비스로 확산하고 있음을 보여준다고 평가했다.


◎공감언론 뉴시스 yunghp@newsis.com