2007년 3월 중국 IT 문화와 해커

어느 덧 8월입니다. 이 블로그를 오픈 한지도 1주년이 다 되어 가고 시간이 참 빠르게 흘러가는 것 같은데, 읽어야 될 책들과 다루어 보고 싶은 주제의 기술들은 많아서 이래 저래 아쉽다는 생각이 많이 듭니다.

작년 이 맘 때에는 지산 록 밸리 록 페스티벌에도 다녀오고 인천 펜타포트 록 페스티벌에도 다녀오느라 나름 즐거운 시간들을 보내었느데 올해는 그러지를 못 해서 조금은 아쉽네요. 그래도 저를 닮은 아기와 시간을 보내는 것도 즐거운 일들이라 이런 아쉬움을 조금이나 달랠 수가 있었습니다. 그래도 아내의 허락으로 메탈리카(Metallica)가 메인 무대를 장식하는 현대카드 슈퍼콘서트19 시티브레이크에는 하루 정도 다녀 올 수 있을 것 같아 기대가 큽니다.

오늘 공개하는 강연 자료는 2007년 3월 국가사이버안전센터(NCSC)에서 주관한 내부 세미나에서 강연한 중국 IT 문화와 해커라는 주제 입니다.

해당 강연을 진행 할 당시 중국발 악성코드가 큰 이슈들 중 하나인지라, 정부 기관에서도 이러한 악성코드를 제작하고, 취약한 국내 웹 사이트들을 해킹하는 중국 언더그라운드 해커들에 대해 관심이 많았던 시기였습니다.

그래서 몇 년에 걸쳐 연구하고 조사한 중국 언더그라운드 해커들에 대한 특징과 조직들에 대한 자료를 1시간에 걸쳐 강연할 기회가 있었습니다.

강연 자료는 다음과 같은 목차로 구성 되어 있습니다.

1. 중국의 환경과 IT 문화
2. 중국 해커의 기원과 분류
3. 주요 해커 그룹
4. 중국 동향 분석 방안

2007년 3월 중국 법인 엔지니어들 대상 교육 자료

어느덧 2013년도 절반 이상이 지나가고 7월도 내일이 마지막이네요. 여러가지 사정들 때문에 부지런하게 정리하지 못 했던 이 블로그도 시간이 흘러 1년이라는 시점이 다 되었군요.

이제까지 외부 강연에서 사용하였던 자료들도 2006년도까지 정리 되었고, 드디어 2007년도로 넘어 오게 되었습니다.

2007년도에 처음으로 진행하였던 외부 강연은 3월에 있었던 중국 법인에서 근무하고 있는 현지 엔지니어들을 대상으로 한 교육이었습니다. 교육은 총 5회에 걸쳐서 5일 동안 진행되었는데, 그 덕분에 입사 이래 가장 오랫동안 중국 북경에서 머무르게 되었습니다.

5일 동안의 출장 시간 동안 주중에는 교육을 하고, 야간에는 중국 현지 보안 업체 엔지니어 친구들과 저녁 식사를 하거나 학부시절 같이 공부 했던 선배, 후배와 친구들을 만나서 즐거운 시간들을 보낼 수가 있었습니다.

오늘 공개하는 자료는 앞서 언급한 바와 같이 총 5회에 걸쳐서 진행되었는 교육이었지만 4회와 5회는 대외비 자료(V3 엔진 구조와 진단법 관련)들이 포함되어 있어 이 것들 제외한 나머지 3회 분량만 공개하게 되었습니다.

1회에서는 악성코드의 최신 동향과 그에 따른 악성코드들의 최신 기법들을 다루고 있습니다. 이는 2006년도와 그 이전에 하였던 내용들에서 크게 다른 내용들은 포함되어 있지 않습니다.

1) 악성코드 정의와 분류
2) 악성코드 유형별 동향
3) 악성코드 기술적 동향
4) 주요 악성코드 감염 기법

2회에서는 악성코드 분석 방법론과 그에 맞추어서 사용되는 다양한 공개용 도구들을 소개하고 마지막에는 실제 악성코드 분석 사례를 예시로 들어서 설명하고 있습니다.

1) 악성코드 분석 프로세스
2) 악성코드 분석 유틸리티
3) 악성코드 분석 사례

3회에서는 악성코드 감염이 의심되는 시스템의 흔적들(컴퓨터 포렌식 분야에서는 아티팩트라고 언급되는 부분들)을 안레포트(AhnReport)를 이용해 추적하는 방법들을 설명하고 있습니다.

1) 악성코드 특성
2) AhnReport의 이해
3) AhnReport의 사용법
4) AhnReport 로그 분석

2006년 중국 공안부 엔지니어들을 대상으로 한 강연

중어중문학을 전공을 하고 1999년에서 2001년 1월까지 중국 청화대학교에서 중국어학 연수를 한 덕분에 북경에 위치한 중국 법인에 출장을 가는 기회들이 자주 있었습니다. 거의 매해 출장을 가는 주된 이유로는 중국 법인에서 근무하는 중국인 엔지니어들을 대상으로 악성코드 대응과 기초 분석을 강연하고, 업무를 진행하는 과정에서 발생하는 어려움들을 듣고 본사로 전달하는 것이었습니다.

이러한 교육들을 여러해에 걸쳐 진행되다 보니 중국에서 보안 업무를 담당하는 엔지니어들과 소통을 하게되는 계기들도 자주 있게 되었습니다. 그리고 중국 현지 보안 업체들인 라이징(Rising), 지앙민(JiangMin)과 킹소프트(Kingsoft)에서 근무하는 엔지니어들과도 10년 가까이 지내다보니 이제는 친구처럼 편하게 생각하고 있습니다.

오늘 이야기 할 강연 역시 중국 공안부 소속으로 악성코드 분석 및 대응 업무를 담당하고 있는 엔지니어들을 대상으로 한 것입니다.

자료 날짜를 보니 대략 2006년 12월 말 즈음에 한국을 방문 했던 것으로 기억 됩니다. 그 당시 자료는 평소 자주 강연 했던 내용들을 재정리 한 후에 중국어로만 번역하였습니다. 그리고 강연 역시 중국어로 진행해야 했기에 강연 전에 중국어 IT 용어들을 찾아보고, 강연 내용 역시 중국어 표현으로 어색하지 않도록 다듬는 것에 시간을 많이 소비 했던 것이 기억 납니다.

강연은 총 2일에 걸쳐서 진행되었습니다. 1일차에서는 악성코드의 전체적인 동향과 기술적인 특징들에 대한 설명이 주를 이루었으며, 2일차에서는 악성코드 분석을 위한 분석 방법론 설명과 분석 환경 구축 그리고 분석 사례들을 설명하는 순서로 진행되었습니다.

그 때가 맞는 것으로 기억됩니다만, 2일간의 강연이 모두 끝이 난 이후에 공안부 직원들이 감사의 답례로 조그마한 경극 가면 장식품을 주더군요. 그 장식품은 현재 저의 집 서재 책장에 가지런히 진열 되어 있습니다.

중국 언더그라운드 해커의 변화

중국 언더그라운드 관련 두번째 원고로 대략 2006년 3월에 작성 했었던 것으로 기억 납니다. 이 원고 역시 회사 홈페이지에 "중국 언더그라운드 해커의 변화"라는 동일한 제목으로 공개되어 있습니다.

지난 번에 정리한 중국 언더그라운드 관련 원고는 전체적인 커다란 흐름에서 중국 IT 문화의 발전과 함께 언더그라운드 해킹 문화를 다루었다면, 이번 원고에서는 실질적인 해킹 그룹들의 발전 과정들을 정리한 원고 입니다.

+---------------

얼마 전 한국의 대표적인 온라인 게임인 리니지를 즐기는 사용자들의 개인 정보가 대규모로 도용되는 사건이 발생하였다. 이러한 대규모의 개인 정보 도용 사건은 악의적인 중국인 해커들에 의해 발생한 사건으로 알려져 그 충격을 더하고 있다. 게다가 개인 정보 도용은 리니지 게임 사용자들뿐 아니라 피망, 한게임 그리고 마비노기 등 한국에서 제작되어 널리 알려진 대부분의 온라인 게임으로 번져 나가고 있어 온라인 게임을 즐기는 유저들의 우려를 더해 가고 있는 실정이다.

이러한 중국발 해킹으로 국내에서도 서서히 중국 언더그라운드 해커들에 대한 관심이 증가하고 있다. 중국 언더그라운드 해커 들은 미국 또는 유럽과 달리 1990년대 중반부터 중국 특유의 정치적인 사상과 컴퓨터 시스템 그리고 컴퓨터 네트워킹에 대한 연구가 합쳐져 다른 나라에서 볼 수 없는 독특한 언더그라운드 해커 문화들을 형성하게 되었다. 이러한 고유한 문화를 가진 중국의 언더그라운드 해커들은 어떠한 변화를 겪으며 현재까지 흘러 왔는지 살펴보도록 하자.

컴퓨터 네트워크의 등장

1994년에서 1996년은 중국 컴퓨터 네트워크 산업의 토대가 이루어지기 시작한 시기이다. 그러나 컴퓨터 네트워크라는 개념자체가 전문적인 연구기관이나 연구인력에 의해서 만들어진 연구자료 등에서만 등장하고 있는 실정이었고 컴퓨터 네트워크를 사용하는 계층도 대부분 연구기관의 연구인력에 의해서였다. 이 시기에는 해커라는 단어 자체가 존재하지 않았으며 컴퓨터를 오락용 게임기로 생각하는 사람들이 대부분이었다. 그리고 소수의 컴퓨터 사용자들 역시 도스(DOS)에서 실행되는 프로그램이나 개인 컴퓨터(PC)용 게임 프로그램을 복제하여 보관하는 정도였다. 이 시기에는 해커라기 보다는 일반 프로그램의 복제판을 제작하는 사람들이 많았으며 더 많은 프로그램을 복제하여 용량이 얼마 되지 않는 하드디스크(HDD)에 보관하는 것이 큰 유행이었다. 그 중에서도 최신 유행하는 외국 프로그램을 복사하는 것이 가장 큰 인기를 끌었었다. 이 시기에 활발한 활동을 한 대부분의 사람들이 후일 중국 소프트웨어와 네트워크 개발 산업에 많은 도움을 준 인물들로 성장하게 되었다. 이러한 면에서 본다면 이들이 곧 초기 중국 언더그라운드 해커들의 기원이라고 볼 수 있다.

언더그라운드 해커의 등장과 해커 조직의 결성 

1997년에서 1999년까지가 중?언더그라운드 해커들에 있어서 많은 변화와 발전을 이룬 해라고 볼 수 있다. 그리고 현재 알려진 중국 언더그라운드의 고급 기술을 가지고 있는 해커들 대부분이 이 시기에 가장 많이 등장하였다. 이 시기의 중국 언더그라운드 해커들 사이에서 가장 발달된 기술은 특정 웹 사이트나 전자 메일 주소로 다량의 메일을 전송하는 메일폭탄(Mail Bomb)이 알려져 있었다. 그러나 이 시기 대부분의 해킹 기술은 스스로 개발한 프로그램이 아니라 외국에서 개발된 프로그램을 이용하는 수준이었다. 그리고 아직까지는 중국 언더그라운드 해커들이 스스로 개발한 해킹 프로그램은 찾아 볼 수 없었으며 미국에서와 같은 독특한 언더그라운드 해커 조직이나 고유한 해커 문화도 존재하지 않았다. 1998년에 이르러서야 중국 언더그라운드 해커들에 의해 개발된 최초의 트로이목마인 넷스파이(Win-Trojan/NetSpy)가 제작된다. 그리고 이와 함께 PP, 천행과 사조령 등 고급 해킹 기술을 가진 고급 해커들이 등장하기 시작하였으며 서서히 해커들 스스로 개발한 트로이목마나 해킹 프로그램들이 발견되기 시작하였다. 이러한 악성코드의 빠른 발전에 비해서 아직 중국 내에서는 안티 바이러스(Anti-Virus)에 대한 기술 발전은 미약한 상태였으며 자체적인 백신 개발 기술이 없는 실정이었다.

1997년을 즈음하여 지금은 해체된 중국 최초의 언더그라운드 해커 조직인 녹색병단(綠色兵單)이 굿웰(Goodwell)에 의해서 조직된다. 굿웰은 네트워크 해킹을 중심으로 최초의 해커 조직인 녹색병단(綠色兵單)을 조직하고 중국 언더그라운드에서 개인으로 활동하던 고급해커들을 흡수하는데 큰 기여를 하게 된다.

1998년 7월에서 8월, 인도네시아에서 발생한 대규모의 폭동으로 인해 인도네시아에 진출해 있는 중국 화교들이 커다란 피해를 입는 사건이 발생하게 된다. 이러한 인도네시아 화교들의 피해가 중국 내부에 알려지자 아이알씨(IRC) 채팅방에는 대규모 중국 언더그라운드 해커 모임이 열리게 된다. 이 모임에서 중국 언더그라운드 해커들은 인도네시아 정부 웹 사이트에 대한 대규모 해킹 공격을 결정하게 되고 이 공격은 이후 점점 더 많은 해커들이 참가하게 되었다. 이 해커 모임으로 인해 고급 해킹 기술을 갖춘 몇몇 고급 해커들을 중심으로 ‘중국해커긴급회의중심’이라는 조직을 결성하여 인도네시아 정부에 대한 기술적이며 체계적인 공격을 지휘하게 된다. 이 모임은 중국 언더그라운드 해커들 사이에서는 고유한 해커 문화를 만들어 나갈 수 있는 조직을 결성하는 계기가 되었으며 이 후 이 조직은 최대의 중국 언더그라운드 해커 조직이라고 알려진 홍커(紅客)를 조직하게 되는 밑바탕이 된다.

1999년 5월에 이르러 중국 최대의 언더그라운드 해커 조직과 웹 사이트가 등장하게 된다. 이들은 스스로를 ‘중국홍커(紅客)조국단결전선’ 이라고 부르며 다분히 정치적인 사상을 가지고 있는 모습을 보이게 된다. 그리고 두달 후인 7월, 이들은 자신들의 정식명칭을 ‘중국홍커(紅客)조국통일전선’으로 바꾸며 해킹 기술의 연구라는 기반 위에 애국주의적인 사상을 주된 이념으로 삼는 고유한 문화를 이루게 된다. 홍커(紅客)의 웹 사이트에는 애국주의적인 글과 모택동이 젊은 시절 남긴 사회주의 사상의 글들이 주를 이루고 있다. 홍커(紅客)는 이 후 대만에서 중국과 대만은 별개의 나라라는 양국화론이 대두 되자 대만에서 제작된 소프트웨어에 트로이목마를 설치해 배포하고 대만 정부 웹 사이트에 대한 해킹 공격을 하는 등 그들이 가진 고급 해킹 기술들을 정치와 사상적인 목적으로 이용하게 된다.

[그림] 해체되기 전 홍커(紅客)의 웹사이트]

언더그라운드 해커 조직의 다양화 

2000년에 이르러 중국 내 개혁과 개방 정책에 따라서 다양한 서구 문화가 중국으로 유입되며 정치적으로는 사회주의 노선을 표방하지만 경제면에서는 자본주의 시장 경제를 따라가는 변화를 맞이하게 된다. 이러한 중국 내 사회적인 변화와 함께 중국 언더그라운드 해커 조직에서도 새로운 문화를 가진 언더그라운드 해커 조직이 등장하기 시작한다.

이 시기의 해커 조직은 크게 세 가지 부류로 나누어지고 있다. 첫 번째가 홍커(紅客)로 대표되며 이들은 강한 정치적인 색채와 애국주의적인 사상을 가진 단체들이며 그들이 가지고 있는 고급 해킹 기술들을 사상적인 목적에 활용하는 부류이다. 두 번째로는 난커(蓝客)로 대표되며 홍커(紅客)와 반대로 순수하게 해킹 기술 습득을 주목적으로 하고 있다. 난커(蓝客)는 정치와 사상에는 전혀 관심을 가지지 않으며 오로지 해킹 기술 습득과 발전에만 전념하고 있다. 마지막으로는 근본적인 해커의 정신에 대해서만 다루며 정치와 컴퓨터 시스템에 대한 집착을 보이지 않는 해커 조직들이다. 그리고 이러한 전문적인 해커 조직 외에도 “중국 소년”이라고 불리는 저급한 크래커들이 등장하게 된다. 이들은 홍커(紅客)와 난커(蓝客) 같이 조직적인 체계를 갖춘 집단이 아니라 혼자서 활동을 하며 해킹에 대한 전문적인 지식이 현저하게 떨어져 언더그라운드 해커 조직에서 개발한 해킹 프로그램들을 주로 이용하였다.

2003년에 이르러 중국 언더그라운드의 대표적인 해커 조직인 홍커(紅客)는 일대 변화를 맞이하게 된다. 홍커(紅客)의 리더인 Lion이 해킹 기술 습득과 함께 해킹에 대한 흥미를 잃어버리고 홍커(紅客) 조직을 해체하게 된다. 이로 인해 홍커(紅客)는 웹사이트 폐쇄와 함께 잠정적으로 모든 활동을 중단하게 된다. 그리고 이시기를 즈음하여 중국 언더그라운드 해커 조직에서도 서서히 해킹자체에 대한 기술 연구보다는 컴퓨터 보안에 대한 연구를 추구하는 조직들이 등장하기 시작하여 중국 언더그라운드 해커 조직의 다양화를 형성하기 시작하였다.

현재 중국 언더그라운드 해커조직은 홍커(紅客)의 해체 이후 중국 최초의 언더그라운드 해커 조직인 녹색병단(綠色兵單)과 비슷한 시기인 1997년에 조직된 중국응파(中國應派)가 리더인 Chinaeagle Union이 가장 큰 해커 조직으로 알려져 있으며 현재까지도 왕성한 활동을 하고 있는 것으로 알려져 있다. 그러나 예전과 같이 시스템 해킹과 같은 악의적인 활동 보다는 컴퓨터 보안에 대한 많은 연구 활동을 하고 있는 것으로 알려져 있다. 그리고 비교적 최근에 알려진 언더그라운드 해커와 해커 조직으로는 고독검객(孤獨劍客)과 그가 소속되어 있는 HackerBase Union이다. 고독검객(孤獨劍客)은 중국 차세대 해커로 꼽힐 정도로 고급 해킹 기술을 구사하고 있는 것으로 알려져 있다. 그리고 난커(蓝客)로 알려진 Lanke Union의 리더인 빙하(氷河)가 있다. 빙하(氷河)는 Lanke Union을 조직하고 그가 가지고 있는 고급 해킹 기술들을 문서화하여 조직의 해킹 기술을 끌어 올리는데 많은 기여를 한 것으로 알려져 있다. 그리고 마지막으로 EvilOctal Security Team의 리더인 빙설봉정(氷雪封情)이 고급 해커로 알려져 있다.

중국 해커의 기원과 해커 조직의 탄생

2003년 10월 말에 작성한 중국 언더그라운드 관련 원고 입니다. 이 원고 역시 회사 홈페이지에 "중국 해커의 역사"라는 제목으로 공개되어 있습니다.

예전에는 1년에 일주일 정도 중국 법인이 있는 북경으로 출장을 갔었습니다. 출장 목적은 중국 법인에서 근무하는 기술지원 엔지니어들에 대한 악성코드 분석 초, 중급 교육이었습니다. 이런 기회들을 통해 중국 현지 직원들로부터 중국 보안 시장에 대해 많은 이야기들을 들을 수 있었습니다. 그리고 개인적으로 친분이 있었던, 물론 지금도 자주 연락하는 친구들인 중국 보안 업체인 라이징(Rising)과 지앙민(JiangMin)의 연구원들과 만나 연경 맥주와 함께 저녁을 먹으며 중국 보안 산업에 대해 많은 조언들을 들을 수 있었던 기회 였습니다.

일주일이라는 짧은 기간이지만 예전 북경에서 공부 할 때 기억도 나고, 북경에서 대학원을 다니던 대학 동기와 후배들을 만나서 이런 저런 이야기들 할 수 있었던 기억이 나네요. 그 때 대학원을 다니던 친구와 후배들은 이제는 북경 현지 한국 기업에서 근무하는 직장인들이 되었구요.

지금은 중국 북경에 악성코드 분석과 대응을 전담하는 팀이 있어서 제가 직접 출장을 가지는 않습니다. 그래서 마지막 중국 북경 출장을 갔던 때가 2008년 북경 올림픽 때였습니다. 그 때 갑자기 결정된 출장이라 호텔과 항공권 구하기 쉽지 않아 고생을 좀 했습니다만, 잠시 짬을 내서 북경 올림픽 주경기장도 방문해보고 했던 기억들이 나네요.

이제까지 썼던 중국 언더그라운드 관련 원고들을 찾아보니 2003년 10월과 2006년 3월 이렇게 총 2편을 썼더군요. 오늘은 2003년도 원고만 정리하고 다음에 2006년도 원고도 정리 할 생각입니다.

이 중국 언더그라운드 관련 원고 2편으로 인해 2007년 3월에는 중국 언더그라운드 관련 강연을 해달라는 국가사이버안전센터의 요청이 있어 역삼 센터를 방문했었고, 2009년 6월에는 침해사고대응팀협의회(CONCERT)의 비공개 세미나에 참석해 강연을 했던 기억이 나네요.

+---------------------

중국은 정부의 강력한 IT 정책에 힘 입어 장기적인 대규모 네트워크 공사와 IT 기업 설립에 많은 발전을 이루고 있다. 이러한 정보의 강력한 정책은 곧 IT 선진국에서 유학을 한 엘리트들에게 중국으로 돌아올 수 있는 계기를 마련하였고 엘리트들의 대규모 귀국은 곧 IT 벤쳐 기업의 설립과 같은 IT 열풍으로 이어 지게 되었다. 이러한 영향은 곧 중국 서민들의 생활 속에서 컴퓨터(Computer)와 인터넷(Internet)은 더 이상 이웃나라 뉴스 속에서나 들을 수 있는 이야기가 아닌 생활 속의 한 부분으로 여기게 되는 계기가 되었다.

이러한 거대한 흐름의 이면에는 컴퓨터와 네트워크를 통해 사상과 이념을 찾으려는 많은해커(Hacker)들과 단체들이 등장하게 되었다. 이들은 다른 나라에서 흔히 볼 수 있는 컴퓨터와 네트워크에 대한 지적 호기심과 사회주의 국가라는 독특한 환경을 배경으로 다양한 조직으로 갈라지게 되었다. 그리고 그들만의 사상을 위해서 컴퓨터와 인터넷을 이용한 발전을 거듭하고 있다.

1. 네트워크의 등장 (1994년 - 1996년)

1994년에서 1996년은 중국 네트워크 산업의 토대가 이루어지기 시작한 시기였다. 그리나 중국의 네트워크가 일반 대중이 이용한다기 보다는 극소수의 부류에서만 이용 되었다. 그리고 아직까지 일반 대중에게 컴퓨터는 값 비싼 가전제품이라는 인식을 벗어나지 못하고 있었다. 네트워크라는 개념자체가 전문적인 연구기관이나 연구인력에 의해서 만들어지는 연구자료에서만 등장하고 있는 실정이었고 네트워크를 사용하는 소수의 부류도 대부분 연구기관의 연구인력에 의해서였다.

이러한 시기에는 해커라는 단어 역시 인식하지 못했으며 단순히 컴퓨터를 오락용 도구로 생각하는 부류가 많았다. 그 들 대부분도 Dos에서 실행되는 프로그램이나 PC용 게임 프로그램을 복제하여 보관하는 정도의 수준이었다. 이러한 불법 복제에 대해서 저작권 침해라는 개념보다는 정식판의 또 다른 복사판으로 생각하는 경향이 많았으며 저작권 침해라는 인식자체가 거의 존재하지 않는 시기였다. 이 당시는 해커라기 보다는 단순히 일반 프로그램의 불법복제를 일삼는 부류가 많았으며 그 들이 하고자 하는 것도 더 많은 프로그램을 복사하여 용량이 얼마되지 않는 하드디스크(HDD)에 보관하는 것이었다. 그 중에서도 외국에서 최신 유행하고 있는 프로그램을 복사하는 것을 가장 큰 즐거움으로 여겼다. 이 시대에 활발한 활동을 한 대부분의 사람들이 현재의 중국 소프트웨어와 네트워크 개발 산업에 많은 도움을 준 인물들이 배출된다. 이러한 면에서 이 들이 곧 현재 중국 해커들의 기원이라고 볼 수가 있다.

이 시기에는 네트워크를 통한 접속 대부분이 모뎀을 이용하였으며 접속속도 역시 9600 Bits/s 에 못 미쳤다. 현재와 비교하여 네트워크의 초기형태에 가깝다고 볼 수가 있다. 그리고 현재 우리가 사용하는 인터넷에 대한 인식이 거의 없었으며 네트워크로 접속이 가능한 곳도 사설 BBS이거나 대학 연구소에서 개설한 BBS가 전부였다. 그러나 이 후 중국 대부분의 대도시에서 BBS를 전문적으로 운영하는 업체가 등장하게 되었으며 이 곳을 이용하는 대부분의 사람들은 소프트웨어 교환이 주된 화제이자 목적이었다.

1996년도를 기준으로 네트워크 이용 세대가 나눠지게 된다. 1996년 이전에 네트워크를 이용하는 부류를 1세대 중국 네티즌이라고 불리게 되고 그 시기 이후를 2세대 중국 네티즌으로 분류하게 된다. 1 세대 네티즌 대부분은 인터넷에 대한 개념과 이용 경험 없는 부류이며 그 들이 생각하는 네트워크는 모뎀과 전화선을 이용해 사설 BBS에 접속하는 것이 전부이다. 1996년 이 후가 되어서야 중국의 대 도시에서는 네트워크에 대한 기본 토대를 이루기 시작하며 이와 더불어 정부차원에서의 중국국제네트워크관리국이 생기게 된다. 그리고 중국 내에서 모뎀을 이용한 네트워크 접속자 수도 점차 늘어나기 시작하자 1996년에 이르러 중국전신국에서는 모뎀을 이용한 네트워크 접속을 유도하는 정책들을 발표하기 시작하였다. 이 시기에 이르러서야 중국의 일반 가정에서도 네트워크 접속이 널리 보편화 되기 시작하였다.
이러한 배경을 바탕으로 2세대 네티즌들은 기존 1세대 네티즌들이 벗어나지 못했던 공간을 벗어나게 되었다. 그 들은 1세대들이 이용하던 사설 BBS를 벗어나 인터넷이라는 다른 세계로의 접속을 서서히 시작했기 때문이다. 1995년과 1996년은 중국네트워크 성장의 첫걸음을 알리는 해이자 동시에 중국 소프트웨어 산업이 시작하는 해라고 볼 수가 있다. 이러한 발전이 곧 중국 초기 해커들의 기술적 발전을 조금씩 이루어 갈 수 있는 계기를 마련하였다.

2. 해커의 등장과 해커 단체의 탄생 (1997년 - 1999년)

1997년에서 1999년까지가 중국 해커들에 있어서 많은 변화와 발전을 이룬 해라고 볼 수 있다. 그리고 현재의 고급 해커들 대부분이 이 시기에 가장 많은 탄생하였으며 인터넷이라는 단어가 일반인들 사이에서도 서서히 인식되기 시작하였으며 인터넷은 곧 새로운 사상, 새로운 관념으로 대표되기 시작하였다.
1997년 초, 검색 사이트인 야후(Yahoo)에서 중국어로 만들어진 7개의 해킹 관련 웹 사이트를 검색할 수가 있게 되었다. 이 해킹 사이트에서 제공하는 대부분의 정보들은 외국의 해킹 관련사이트에서 볼 수 있는 기술 자료들을 단순히 중국어로 번역하거나 외국 사이트에 대한 정보를 제공하는 정도의 수준이었다. 그러나 이 시기부터 서서히 일반 대중들 사이에서도 해커라는 단어가 서서히 알려지기 시작하였다. 당시 해커들의 가장 발달된 기술은 특정 사이트나 메일 계정으로 다량의 메일을 전송하는 메일폭탄(MailBomb)이 가장 고난이도 기술로 평가되었다. 그러나 이러한 기술도 대부분 스스로 개발한 프로그램에 의한 것이 아니라 외국에서 개발된 프로그램을 이용하는 수준이었다. 중국 자체에서 개발된 해킹 프로그램을 찾아 볼 수 가 없을 뿐만 아니라 미국에서와 같은 독특한 해커 조직이나 독특한 문화는 찾아 볼 수가 없다.

1998년에 이르러서야 서서히 인터넷을 이용한 활발한 활동이 이루어지기 시작하였다. 이 시기 미국에서는 전세계 해커 대회 중 백오리피스(Back Orifice)라는 트로이목마를 발표하게 된다. 이 트로이목마는 전 세계적으로 네트워크 상에서 컴퓨터 시스템 보안이라는 문제를 일으키게 되었으며 이 후 트로이목마(Trojan Horse)라는 악성코드의 발전에 커다란 계기를 마련하게 된다. 백오리피스의 발표 후, 이와 관련된 유사한 프로그램들 역시 인터넷을 통해 중국에도 널리 알려지게 되었으며 중국의 해커들 역시 이러한 프로그램들을 사용하게 되었다. 그러나 백오리피스와 같은 악성코드가 중국 내에 미친 악영향은 비교적 적은 편이었으며 오히려 'CIH' 가 더 많은 컴퓨터 시스템에 피해를 입히게 되었다. 'CIH'로 인해 중국은 수백억에 달하는 피해를 입게 되었으며 이와 동시에 중국의 해커들에게 악성코드에 대한 많은 관심을 불러 일으키게 되었다.

1998년에 이르러서 중국 해커들에 의해 개발된 최초의 트로이목마인 넷 스파이(NetSpy)가 등장하게 된다. 넷 스파이라는 중국 최초의 트로이목마가 개발 되었으나 'CIH'의 커다란 파급효과로 인해 그러게 많은 관심을 끌지는 못했다. 그러나 PP, 천행, 사조령과 같은 고급 해킹 기술을 가진 해커들이 두각을 나타내기 시작하며 해커들 사이에서는 서서히 스스로 개발한 트로이목마나 해킹 프로그램들이 등장하기 시작하였다. 이러한 악성코드의 빠른 발전에 비해서 아직 중국 내에서는 안티바이러스(Anti-Virus)에 대한 기술 발전은 미약한 상태였으며 자체적인 백신 개발 기술이 없는 실정이었다.

1998년 7월에서 8월, 인도네시아에서 발생한 대규모의 폭동으로 인해 인도네시아에 진출해 있는 중국 화교들이 커다란 피해를 입는 사건이 발생하게 된다. 이 사건은 곧 인터넷과 일반 뉴스미디어 매체를 통해 일반인들에게 알려지게 되며 중국에서 제작된 웹 사이트(Web-Site)에는 이 폭동으로 피해를 입은 중국 화교들의 잔혹한 피해상을 그대로 전하게 된다. 이러한 피해들이 알려지자 IRC에는 유례 없는 대규모 중국 해커 집회가 열리게 된다. 이 집회에서 중국 해커들은 인도네시아 정부 웹 사이트에 대한 메일폭탄과 'Ping' 명령 등을 통한 대규모 공격을 결정하게 된다. 이 공격은 이 후 점점 더 많은 수의 사람들이 참가하게 되었으며 참가자들 중 고급 기술을 갖춘 해커들을 중심으로 '중국해커긴급회의중심'이라는 조직을 결성하여 인도네시아 정부에 대한 기술적이며 체계적인 공격을 지휘하게 된다.  이 후 해커들 사이에서는 자신들만의 해커 문화를 만들어 나갈 수 있는 단체를 결성하는 계기가 되었었으며 이 조직은 중국 최초의 해커 단체인 홍커(적색 해커)라는 조직의 뼈대를 이루게 된다.

이러한 사건이 발생한 후 해커들 사이에는 유닉스(Unix), 네트워크(Network) 등에 관련된 고급 기술에 대한 관심이 서서히 커져가기 시작하였으며 해커들 사이에서의 주된 화제거리가 되었다. 이 와 동시에 인터넷에는 해킹 기술과 관련된 수 많은 중국어 웹 사이트가 등장하게 되었으며 고급 해킹 기술을 가진 해커들이 대거 등장하게 된다.

1999년 5월, 중국 최초의 해커 단체와 그 들만의 웹 사이트가 탄생하게 된다. 이 들은 스스로를 '중국홍커조국단결전선' 이라고 부르며 강한 정치적인 색채를 띄게 된다. 그리고 2달 후, 이들은 자신들의 정식명칭을 '중국홍커조국통일전선'로 바꾸며 네트워크와 컴퓨터 시스템에 대한 기술적인 바탕 위에 애국주의적인 사상을 주된 이념으로 삼게 된다. 이 들의 웹 사이트에는 애국주의적인 글과 모택동의 젊은 시절 남긴 사회주의 사상의 글들이 주를 이루고 있다. 이들은 이 후 대만에서 중국과 대만은 별개의 나라라는 양국화론이 대두 되자 대만에서 제작된 소프트웨어에 트로이목마를 설치해 배포하는 한편 대만 정부의 웹 사이트를 공격하는 등 그들이 가진 고급 해킹 기술들을 정치와 사상적인 목적으로 이용하게 된다.

3. 해커 조직의 다변화 (2000년 - 2002년)

2000년은 중국에서 인터넷이라는 매체가 보편화가 되는 시기이다. 이 시기에는 PC 방이 전국적으로 등장하게 되며 인터넷을 이용하는 인구도 몇 년 전과 비교하여 몇 배 이상이 증가하게 된다. 그리고 일반인들 사이에서 "인터넷 이용하세요?"라는 말이 하나의 유행어가 될 정도로 인터넷은 중국인들 생활 깊숙히 파고 들게 되었다.

이러한 인터넷의 보편화와 동시에 중국 내에서는 다양한 사상을 가진 해커 단체들이 등장하게 되며 서서히 해커 조직에 대한 다변화가 이루어지기 시작한다. 이 시기에 등장하는 해커 단체는 크게 세 가지 부류로 나눌 수가 있다. 첫 번째가 홍커(적색 해커)로 대표되며 이들은 강한 정치적인 색채와 애국주의적인 사상을 가진 단체들이다. 이 들은 정치와 사상적인 목적에 해킹 기술들을 주로 이용하고 있다. 두 번째는 난커(청색 해커)로 대표되며 이들은 홍커와는 반대로 순수하게 네트워크와 컴퓨터 시스템에 대한 기술 습득을 주목적으로 하고 있다. 정치와 사상에는 전혀 관심을 가지지 않으며 자신과 자신이 속한 해킹 단체의 기술 발전에만 전념하고 있다. 마지막으로는 근본적인 해커의 정신에 대해서만 다루며 정치와 컴퓨터 시스템에 대한 집착을 보이지 않는 집단들이다. 그리고 이러한 전문적인 해킹 집단 외에도 "중국 소년"이라고 불리는 인물들이 등장하게 된다. 이 들은 홍커 혹은 난커와 같은 조직적인 체계를 갖춘 집단이 아니라 혼자서 활동을 하며 대부분이 나이 어린 청소년들이 주를 이룬다. 이 들은 앞서 말한 두 단체들에 비해 네트워크나 컴퓨터 시스템에 대한 기술적인 지식이 현저하게 떨어지며 자신들이 개발한 해킹 프로그램들을 사용하기 보다는 전문적인 해커 단체에서 개발한 프로그램들을 이용하는 경향이 강하다.