국정원, '무료 앱' 미끼로

[단독] '데블엔젤' 아이디의 블로그... 국정원 "직원 여부 확인해줄 수 없다"

 

 

[기사수정: 16일 오후 7시 25분]

국정원이 이탈리아 해킹 팀(Hacking Team)과 RCS(리모트 컨트롤 시스템)프로그램을 계약할 때 사용했던 이메일 아이디 '데블엔젤'(devilangel1004)과 같은 아이디의 블로그(devilangel1004.blogspot.kr)가 발견됐다. 이 블로그 계정을 통해 무료 앱을 이용하면 스파이웨어가 설치되도록 돼있어 국정원과 관련 있는 블로그가 아니냐는 의혹이 일고 있다.

블로그 계정으로 '위치 추적, 데이터 송신' 기능 담긴 앱 공유

<오마이뉴스>가 16일 김광진 새정치민주연합 의원실로부터 단독 입수한 자료를 분석한 결과, 이 블로그의 운영자는 '김동현'(DONG-HYEON KIM)이라는 사람이다. 김씨는 이 블로그 계정을 통해 구글 플러스를 이용했다. 그는 구글 플러스로 안드로이드 스마트폰용 TV, 영화, 애니메이션, 일본드라마 앱을 소개하는 사이트를 공유했다.

해당 앱 사이트에 올라온 것은 정상적인 구글 플레이 스토어 마켓을 통하지 않고 유통되는 안드로이드 스마트폰용 앱 설치 파일(APK)이다. 유료 앱을 무료로 쓸 수 있도록 사설 불법 앱들이 이런 방법으로 유통되는 경우는 있다.

겉보기에는 일반 앱으로 보이지만, 속에는 무서운 기능이 숨어 있다. 김광진 의원실이 컴퓨터 공학 전문가와 함께 이 앱 사이트에 올라온 앱 중 '영화천국'을 다운받아 분석한 결과, 이 앱에는 ▲ GPS 현재위치 좌표 추적 ▲ 오디오 녹음 ▲ 카메라 촬영 ▲ 데이터를 특정한 주소로 송신할 수 있는 스파이웨어가 숨어 있었다.

익명을 요구한 이 전문가는 <오마이뉴스>와 한 통화에서 "앱을 살펴보니 리버싱(소스코드 분석)을 방어하기 위해서 스파이웨어 코드를 철저하게 위장해놨다"며 "스파이웨어 소스코드를 분석한 결과 이 앱이 설치된 스마트폰은 실시간 위치 정보를 특정한 주소로 전송하게 돼 있었다"고 밝혔다.

또한 그는 "언제든지 누구나 스파이웨어가 숨어 있는 스마트폰으로 실시간 녹음을 할 수 있고 카메라도 주기적으로 찍어서 특정 서버로 전송하게 돼 있다"고 설명했다.

스파이웨어를 원격 조종하는 사람이 다른 사람의 스마트폰을 마치 자신의 스마트폰 녹음기나 카메라로 사용할 수 있다는 얘기다. 이 앱을 설치한 순간, 나도 모르게 타인이 내 스마트폰을 마음대로 활용할 수 있게 되는 셈이다.

전문가 "돈 벌기 위해 위치 추적이나 오디오 녹음하진 않아"

▲  해킹된 이탈리아 '해킹 팀'사 내부자료에서 확인한 RCS 구매자 명단 캡쳐 사진. 고객명 '육군 5163부대'와 메일 주소가 나와 있다.
ⓒ 박정호	관련사진보기

이것은 상업용으로 쓰이는 스파이웨어일 가능성도 있다. 그러나, 이 전문가는 "여기에 숨어 있는 스파이웨어는 상업용 스파이웨어와 전혀 다르다"며 "돈을 벌기 위한 수단으로 GPS 위치 추적이나 오디오 녹음을 할 리는 없다"고 강조했다.

또한 이 전문가는 "이 앱을 지우지 않고 내버려 두면 녹음파일과 촬영파일이 특정 서버로 전송된다"며 "특정 주소 도메인으로 전송하는 코드가 있지만 불법 취득한 정보를 어디로 전송하는 것인지, 이탈리아 '해킹 팀'에서 만든 스파이웨어인지에 대해서는 더 분석이 필요하다"고 말했다.

국정원은 'devilangel1004'의 존재, 김동현의 국정원 직원 여부에 대해서는 언급조차 하지 않고 있다. 국정원은 이날 <오마이뉴스> 기자가 '김동현'이 국정원 직원이 맞는지 확인해 달라"는 요청에 대해 "확인해줄 수 없다"는 답변만 보내왔다.

한편, 지난 14일 국회 정보위원회에 출석한 이병호 국정원장은 "대북 해외정보전을 위한 기술분석 연구개발용으로 2012년 1월과 7월 이탈리아 '해킹 팀'사로부터 총 20명분의 RCS 소프트웨어 구입했다"고 밝혔다.

이 국정원장은 "언론에서 말한 민간 사찰용 등 의혹에 대해 모두 사실이 아니고, 소프트웨어 수량이 20명분이기 떄문에 불가하다"고 밝히고, "과거 같이 국민을 대상으로 이런 일이 있을 수 없다, 어떤 처벌도 받겠다"고 말했다.

○ 편집ㅣ박혜경 기자

http://www.ohmynews.com/NWS_Web/View/at_pg.aspx?CNTN_CD=A0002127936&PAGE_CD=ET001&BLCK_NO=1&CMPT_CD=T0016