북한 추정 해커, '보안 메신저' 가장해 APT 공격

'탈북자 지원' 웹사이트로 앱 설치 유도…SNS로도 홍보

보안 기업 이스트시큐리티(대표 정상원)는 탈북자와 대북 단체, 외교, 안보, 통일 분야 관련자 등을 대상으로 지속적으로 수행된 모바일 지능형지속위협(APT) 공격이 5일 포착됐다고 밝혔다.

이스트시큐리티는 이번 모바일 APT 공격에 대해 특정 정부의 후원을 받는 것으로 알려진 해킹 조직 ‘금성121'의 소행으로 추정했다. 이 조직은 주로 한국의 대북 단체와 대북 분야 종사자, 탈북자들을 대상으로 악성 문서 파일을 활용한 스피어피싱과 APT 공격을 수행해왔다.

이번에 확인된 공격에서는 가짜 웹사이트 제작뿐만 아니라 실존하는 보안 메신저를 사칭한 모바일 메신저를 직접 제작해 APT 공격에 활용했다. SNS를 활용한 악성 앱 설치도 유도하는 등 공격 방식이 진화됐다.

공격자는 먼저 ‘북한 이탈주민 모금운동’이라는 워드프레스 기반으로 제작한 가짜 웹사이트를 제작하고, 추가로 구글 플레이스토어…에 자체 제작한 정보 탈취용 메신저 앱 2개를 올렸다.

웹사이트에는 탈북민들이 생활 상 문제를 공유하거나 지원과 도움을 받을 수 있다는 안내가 나타나고, 가짜 모바일 메신저 악성 앱 설치를 유도한다.

별도로 유포한 악성 앱은 ‘쓰리마(Threema)’, ‘위커(Wickr)’ 등 실제 존재하는 보안 메신저를 사칭했다. 사용자 의심을 피하기 위해 정상적인 앱 기능을 대부분 수행하도록 제작됐다.

이스트시큐리티 시큐리티대응센터(ESRC) 관계자는 “이번 모바일 APT 공격은 카카오톡 메신저를 통해 지난 6월부터 최근까지 악성 앱이 유포된 정황과도 연결돼 있다”며, “특정 분야 종사자에게 메신저로 먼저 대화를 시도해 특정 주제에 대한 이야기를 나누다, 보안을 위해 보안 메신저를 설치해 이야기를 계속하자고 제안하는 등 자연스럽게 악성 앱 설치를 유도하는 교묘한 수법을 사용하고 있다”고 설명했다.

이 악성 앱은 지난 8월 ESRC가 발표한 금성121의 스마트폰 대상 APT 공격에서 활용된 악성 앱과 유사성이 매우 높은 것으로 분석됐다. 현재는 구글 플레이 스토어에서 이 악성 앱이 삭제된 상태다.

공격자는 특정 분야 관련자를 대상으로 한 이메일 발송과 함께, 페이스북과 유튜브를 통해서도 가짜 웹사이트 방문과 악성 앱 설치를 유도했다.

사용 중인 스마트폰에 이 악성 앱을 설치하면 가입 시 입력한 계정정보 유출은 물론 스마트폰이 좀비폰 상태로 변해 모든 정보가 외부로 유출될 수 있게 된다.

문종현 이스트시큐리티 시큐리티대응센터(ESRC) 이사는 “이번 공격을 분석, 추적한 결과 페이스북, 유튜브 등 사용자가 친숙할 만한 채널을 이용해 탈북민과 대북 단체 관련자에게 악성 앱 설치를 유도하고 있었다”며 “공격자가 커뮤니티 기반의 탈북민 후원 모바일 앱을 제작하고 SNS 등을 통해 해당 앱 설치를 홍보하는 방식으로, 감시 대상이나 공격 타깃을 한 곳으로 모아 은밀하게 정보를 탈취하고 염탐하는 고도의 전략을 구사했다는 점을 주목해야 한다”고 강조했다.