'스턱스넷 복원 소스코드' 공개 — IT 실무자가 짚어야 할 실제 의미와 한계

2010년 세상에 알려진 스턱스넷(Stuxnet)은 사이버 공격이 코드 영역을 넘어 물리적 파괴를 일으킬 수 있음을 처음으로 입증한 사례로 기록된다. 이 웜은 지멘스의 산업 제어 소프트웨어인 Step 7과 WinCC, 그리고 S7-300/400 계열 PLC를 표적으로 삼아, 원심분리기에 연결된 가변 주파수 드라이브(VFD)의 회전 주파수를 비정상적으로 조작해 로터에 기계적 손상을 유발하도록 설계됐다. 최근 한 개발자가 깃허브에 이 스턱스넷을 '복원한 소스코드'라며 공개했고, 오직 연구·교육 목적이며 Windows XP와 7에서만 동작한다고 밝혔다. 공개자는 2010년 발견된 원본 바이너리를 대상으로 글로벌 보안 커뮤니티가 축적한 리버스 엔지니어링 결과를 토대로 재구성했다고 설명한다.

저장소가 주장하는 구조

공개된 저장소는 원본 분석 과정에서 식별된 모듈 단위로 코드를 정리했다고 밝힌다. 초기 감염과 권한 상승, 다른 구성요소 배포를 담당하는 로더/드로퍼(winsta.exe, ~WTR4141.tmp), Win32k.sys 취약점을 악용해 시스템 권한을 얻는 권한 상승 모듈(~WTR4132.tmp), Step 7과 PLC 간 통신을 가로채기 위해 정상 라이브러리 s7otbxsx.dll을 악성 버전 s7otbxdx.dll로 대체하는 후킹 라이브러리 등이 나열돼 있다. 여기에 SSDT 후킹으로 파일·프로세스·레지스트리를 은닉하는 커널 드라이버(mrxcls.sys)와 파일시스템 요청을 필터링해 P2P 전파를 돕는 네트워크 루트킷(mrxnet.sys), 그리고 '주파수 변조' 공격의 핵심 로직(s7plcmain)까지 구분해 두었다.

설명된 실행 흐름도 알려진 스턱스넷 분석과 대체로 일치한다. USB의 LNK 취약점과 네트워크 공유의 프린트 스풀러, P2P를 통한 확산으로 시작해, 감염 호스트에서 지멘스 소프트웨어와 특정 PLC(S7-315, S7-417) 존재 여부를 정찰한다. 표적이 확인되면 s7blk_write 함수 호출을 가로채 사용자가 PLC로 프로젝트를 내려받는 순간 OB1/OB35 블록에 악성 코드를 덧붙이고, 조작된 코드가 VFD를 비정상 주파수로 구동해 물리적 손상을 만든다. 표적이 아니면 자기 파괴하거나 유휴 상태로 남는다는 조건부 동작도 그대로 서술돼 있다.

실무자에게 주는 의미

한국의 OT·ICS 보안 담당자 입장에서 이 저장소의 가치는 '작동하는 무기'가 아니라 '분석 교재'로서의 성격에 있다. 공개자 스스로도 라이브 배포용이 아니라 격리된 가상환경에서의 정적 분석과 디버깅을 위한 것이며, VMware나 VirtualBox의 호스트 전용 네트워크로 인터넷을 차단한 뒤 IDA Pro·Ghidra·x64dbg로 모듈을 뜯어보고 ProcMon·Wireshark로 행위를 관찰하라고 권한다. 실제로 스턱스넷의 위협 모델은 IT와 OT 경계, 엔지니어링 워크스테이션을 경유한 PLC 조작, 그리고 신뢰된 소프트웨어의 라이브러리 교체라는 공급 경로를 이해하는 데 좋은 소재다. 이런 흐름을 코드 수준에서 따라가 보면 YARA 규칙이나 탐지 시그니처를 설계할 때 어떤 행위 지점을 관찰해야 하는지에 대한 감각을 다듬을 수 있다.

동시에 방어 관점의 교훈은 분명하다. 스턱스넷의 핵심은 제로데이 다발이 아니라 신뢰 관계의 악용이다. 정상 DLL을 바꿔치기하고, PLC로 내려가는 코드에 로직을 덧대며, 루트킷으로 흔적을 감춘다. 따라서 실무에서 우선순위는 엔지니어링 워크스테이션의 무결성 관리, 이동식 매체 통제, PLC 프로젝트 다운로드 경로의 감시, 그리고 IT망과 제어망의 분리 검증에 놓여야 한다.

신중하게 받아들여야 할 부분

다만 이 공개물은 몇 가지 지점에서 비판적 검증이 필요하다. 우선 '복원된 소스코드'라는 표현이 곧 원본과의 동일성을 뜻하지 않는다. 디컴파일 결과를 재구성한 코드는 원저자의 실제 소스와 구조나 세부 로직이 다를 수밖에 없으며, 저장소 설명만으로는 재현의 정확도나 실행 가능 범위를 확인할 방법이 없다. 익명의 원저자가 만든 국가급 사이버 무기를 개인이 완전히 복원했다는 주장은 그 자체로 신중히 다뤄야 한다.

법적·윤리적 위험도 가볍지 않다. 교육용이라는 단서가 붙어 있어도 ICS를 겨냥한 공격 코드 계열을 다루는 일은 관할 법령과 조직 정책에 따라 문제가 될 수 있고, 저장소가 GPL v3 라이선스를 표방하는 점 역시 원 악성코드의 출처를 고려하면 형식과 실질이 어긋나는 대목이다. 결국 이 자료를 마주하는 실무자에게 필요한 것은 코드 확보 자체가 아니라, 완전히 격리된 환경, 명확한 연구 목적, 그리고 조직 차원의 승인이라는 최소 조건을 갖췄는지에 대한 판단이다. 그 전제가 없다면 학습 도구는 언제든 책임의 문제로 바뀔 수 있다.