자바스크립트는 최근 몇 년 동안 ‘에이잭스(AJAX: Asynchronous JavaScript and XML)’라는 프로그래밍 기술에 힘입어 더욱 높은 인기를 누리고 있다.

◇방화벽으로 보호받는 기업 네트워크도 공격 가능=웹 보안 전문업체 ‘SPI 다이내믹스(Dynamics)’의 빌리 호프먼 선임 엔지니어는 “우리는 네트워크를 스캔하는 기술, 웹이 가능한 모든 기기를 찾아 그런 기기들에 대해 공격이나 명령을 가하는 지문(fingerprint)을 발견했다”며 “이 기술은 방화벽으로 보호받는 기업 네트워크들도 스캔할 수 있다”고 말했다.

그에 따르면 해커들은 이같은 방식의 공격을 통해 가정의 네트워크를 스캔하고 라우터 모델을 탐지해 무선 네트워킹을 가능케 하는 명령 전송은 물론, 모든 암호 기능이 작동되지 않게 하거난 기업 네트워크 내부의 서버를 공격할 수도 있다.

악성 자바스크립트는 웹 브라우저가 가동되면 특정 PC의 내부 네트워크 주소를 파악한다. 그 다음 표준 자바스크립트 객체와 명령을 사용해 웹 서버용 내부 네트워크를 스캐닝한다.

◇대형 웹 사이트 운영업체들 ‘요주의’=보안 전문가들은 일부 PC 보안 SW들이 이런 악성 자바스크립트를 탐지하겠지만, 대개 공격이 일어난 뒤에 탐지하기 때문에 사전 차단이 어렵다고 말했다.

웹 애플리케이션 보안 업체인 화이트햇 시큐리티(WhiteHat Security)의 제러마이어 그로스먼 최고기술책임자(CTO)는 “사용자들이 자바스크립트를 작동되지 않게 할 수 있지만 너무 많은 웹 사이트들이 자바스크립트에 의존하고 있어 이것만으론 해결될 수 없다. 악성 자바스크립트는 아주 새로운 것이어서 이것이 무엇을 할 수 있는지는 누구도 잘 모르지만, 앞으로 자바스크립트를 이용한 공격을 더 많이 보게 될 것이 분명하다”고 말했다.

정소영기자@전자신문, syjung@etnews.co.kr