[Statics] 통계로 살펴본 3•4 DDoS

2011년 봄을 공포로 몰아넣었던 3•4 DDoS 공격이 일단락되었다.
이번 공격은 3차례의 DDoS 공격과 PC 하드디스크 손상으로 이어졌다. 하지만 다행히도 이번 3.4 DDoS 공격은 7.7 DDoS 공격과 비슷한 정도의 규모였음에도 불구하고 심각한 서비스 장애는 나타나지 않았다.
3•4 DDoS 남긴 기록들을 자세히 살펴보자.

3월 4일부터 5일까지 이틀 동안 3차례에 걸쳐 발생한 DDoS 공격에서 총 40개 사이트가 공격을 받았다. 3월 4일 오전 10시에 발생한 1차 공격에서는 29개의 정부/공공기관 및 민간기관이 공격 대상이 되었다. 같은 날 오후 6시 30분에는 정부/공공기관 24개, 민간기관 16개 총 40개 사이트가 공격을 받았다. 3월 5일 오전 8시, 3차 공격에서는 단 두 곳으로 공격 대상이 대폭 축소되었다.

 

[그림 1] 3•4 DDoS 공격 대상 사이트

이번 공격은 4일부터 시작되었으나, [그림 2]와 같이 3일 오후 4시부터 안철수연구소의 AhnLab Smart Defense (이하 ASD)에서 진단이 되기 시작했다. 3일, 오후 7시가 지나자 상당히 많은 건수가 사전 진단됐다. 이와 같은 사전진단은 4일에 있었던 오후 6시 30분 공격피해를 최소하는데 많은 기여를 했다. 참고로 ASD 기반에서 통계를 낸 수치들은 안철수연구소의 기업용 제품들(V3 IS 7.0, V3 IS 8.0)의 진단건수 통계와는 다를 수 있음을 밝혀둔다. 

[그림 2] 3월 3일 ASD 기반 악성코드 진단 추이

 

또한 [그림 3]과 같이 3월 4일 DDoS 1차 공격 때인 10시를 전후로 진단건수가 증가하는 것을 확인할 수 있다. 그러나 건수 자체는 많지 않았기 때문에 DDoS 공격을 받는 고객 사이트는 큰 이슈가 없었다. 2차 공격 때인 오후 6시 30분부터 진단건수가 약간 증가했지만 시간이 얼마 되지 않아서 다시 줄어들기 시작했다. 5일 새벽 5시부터 갑자기 DDoS 공격이 증가한 것은 또 다른 DDoS 공격 악성코드를 ASD를 통해 실시간으로 수집/반영했기 때문이었다. 6일부터는 다행히 DDoS 공격이 진정 국면으로 접어들었다.

[그림 3] 3월 4-6일 진단추이

[그림 4]는 DDoS 기간 동안 진단됐던 악성코드들 중에서 상위 3개를 선정하여 통계를 뽑아낸 것이다. 진단 추이를 보면 3개의 악성코드 모두가 거의 비슷한 건수를 나타내는 것을 볼 수 있다. 이것들은 모두 메인 DLL 파일에서 생성되는 파일들로 Win-Trojan/Ddosagent.71008로 진단되는 악성코드는 C&C 서버와 통신하는 모듈이며, Win-Trojan/Agent.46432.D는 MBR/파일 파괴 모듈이다. 진단명 Win-Trojan/Agent.40960.BOH는 이번에 가장 핵심이 되었던 DDoS 공격모듈이다.

진단건수의 추이를 보면 이번 공격은 5일에 최고치를 나타내는 것을 볼 수 있다. 6일부터는 ASD 통계와 비슷하게 진정국면에 접어들었다.

 

[그림 4] 3월 3일 ~ 3월 6일까지 진단된 Top 3 악성코드

이번 3•4 DDoS 공격은 HTTP Get 플러딩(Flooding), UDP 플러딩, ICMP 플러딩 등 3가지 공격 기법이 사용되었다. 이들 공격유형별 발생된 패킷 분포를 살펴보면 HTTP Get 플러딩이 압도적으로 많았으며, ICMP 플러딩과 UDP 플러딩이 비슷한 수준이었음을 알 수 있다.

 

[그림 5] 3•4 DDoS 공격 유형별 분포도

 

정보통신위원회의 발표에 따르면 3•4 DDoS 공격에 동원된 좀비 PC가 총 116,299대에 달하는 것으로 최종 집계되었다. 이는 지난 7•7 DDoS 공격의 115,044건과 비슷한 수치이다. 또한 3•4 DDoS 공격으로 인한 하드디스크 손상 신고건수는 총 756건으로 7•7 DDoS 공격의 1,466건보다는 피해가 적었다.   

[그림 6] 3•4 DDoS vs. 7•7 DDoS 좀비 PC 수

 

[그림 7] 3•4 DDoS vs. 7•7 DDoS 하드디스크 손상 신고수

 

[그림 8] 3•4 DDoS 공격 전용 백신 배포 건수

이번 3•4 DDoS에 이용된 C&C(Command & Control) 서버는 72개국의 748개인 것으로 조사됐다. 또한 안철수연구소 등의 백신업체, ISP, 포털 등의 협조와 네티즌들의 자발적•적극적 참여에 힘입어 전용 백신이 총 11,513,951건 배포되었다.