농협 전산망 마비 사태를 수사 중인 검찰은 삭제명령이 실행된 노트북에서 다수의 악성코드를 발견해 이를 분석하고 있다. 서울중앙지검 첨단범죄수사2부(부장검사 김영대)는 28일 서버 운영시스템 삭제 명령이 시작된 IBM 직원의 노트북에서 악성코드 30~40개를 발견해 분석하고 있다고 밝혔다. 검찰은 우선 이 악성코드의 유입 시기와 경로를 파악하는 데 주력하고 있다. 앞서 노트북에서 중국발 IP의 접속 흔적을 확인한 만큼 이 악성코드 중 중국에서 유입된 것이 있는지도 유심히 살펴보고 있다. 또 이 악성코드가 농협 서버를 마비시킨 삭제 명령과 관련이 있는지도 확인 중이다. 검찰 관계자는 "현재 악성코드가 어떻게 노트북으로 유입됐는지 확인하고 있다"며 "이 악성코드가 이번 사건과 관련 있는지는 확인된 바 없다"고 말했다. 검찰은 이번 사건이 '3.4 디도스(DDos. 분산서비스거부) 공격'이나 2009년 '7.7 디도스 대란'과 연관성이 있는지를 알아보기 위해 확인된 IP 중 일치하는 IP가 있는지도 조사하고 있다. 하지만 이번 사건과 북한과의 연관 가능성에 대해 검찰 관계자는 "북한과 연결된 IP는 아직 확인된 바 없다"고 말했다. 검찰은 농협 서버와 노트북 접속 기록 등을 분석한 결과 외부인 소행 가능성이 조금 더 높다고 판단하고 있다. 수사 초기에는 삭제 명령이 실행될 당시 서버 방화벽이 작동되지 않았고 노트북이 여러 차례 외부로 반출된 점으로 미뤄 내부인 소행에 무게를 뒀으나 점차 외부 해커 범행 쪽으로 무게중심이 기울고 있다. 특히 이 노트북이 유선랜(LAN) 등을 통해 내·외부에서 인터넷에 접속한 적이 있는 만큼 원격 조종을 당했거나 좀비PC로 이용돼 삭제 명령 프로그램이 설치됐을 가능성이 있다고 보고 있다. 하지만 검찰은 여전히 내부인의 공조 가능성도 배제하지 않고 있다. 사건 발생 시점을 전후해 해당 노트북에 접근했거나 최고접근권한을 가진 관련자 조사를 꾸준히 진행 중이다. 지금까지 소환조사를 벌인 농협 및 IBM 직원은 30~40명 수준인 것으로 알려졌다.
검찰은 사건발생시점을 전후해서 무엇을 진행중인가?
해당 노트북에 접근했거나 최고접근권한을 가진 관련자 조사