북한 배후 추정 '라자루스', 악성 메일 공격 활발

보안 기업 이스트시큐리티(대표 정상원)는 27일 특정 정부 후원을 받는 것으로 추정되는 지능형 지속 위협(APT) 공격 그룹 ‘라자루스(Lazarus)’의 국내외 공격이 활발히 진행되고 있다고 27일 밝혔다.

미국은 라자루스에 대해 북한 배후의 해커 그룹으로 판단하고, 지난해 특별 제재 대상으로 선정했다. 지난달에는 라자루스가 탈취한 암호화폐의 자금 세탁을 지원한 중국인 2명을 특별 제재 대상으로 지정하기도 했다.

이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 최근 발견된 APT 공격 중 라자루스가 위협 배후로 추정되는 공격은 ▲블록체인 소프트웨어 개발 계약서 ▲한미관계와 외교안보 ▲항공우주기업 채용 관련 문서 ▲00광역시 코로나 바이러스 대응 ▲성 착취물 유포 사건 출석 통지서 사칭 등이 있다.

ESRC는 “특정 정부 후원을 받는 라자루스는 한국뿐만 아니라 미국 등 국제 사회에서도 주요 APT 공격을 수행하고 있다”며 “사이버 첩보 활동 외 금전적 수익을 거두기 위한 외화벌이 활동도 꾸준히 확장하고 있다”고 설명했다.

이들 조직은 올해도 지속적인 APT 공격을 시도하고 있다. 블록체인 소프트웨어 개발 계약서로 위장한 스피어 피싱 공격이 최근 발견된 공격 사례다.

이 공격에 사용된 악성 이메일에는 실제 전자지불 관련 서비스를 제공하고 있는 기업명이 언급돼 있다. 해당 기업의 블록체인 소프트웨어 개발 계약서로 사칭한 서류를 검토해 달라는 내용으로 악성 첨부파일을 열도록 유도한다.

블록체인 소프트웨어 개발 계약서로 위장한 악성 이메일 화면 (출처=이스트시큐리티)

특히 주로 비트코인 등 암호화폐 거래자나 관련 분야 종사자를 주요 공격 표적으로 삼고 있어 금전적인 피해로 이어질 위험도 있다는 분석이다.

지난 1일 발견된 00광역시 감염병관리지원단 사칭 코로나19 바이러스 확진자 발생 관련 협조 요청 위장 공격도 국내 비트코인 거래 관계자가 공격 대상에 일부 포함된 것으로 드러났다. 이처럼 해당 조직은 최근까지 한국 내 암호화폐 거래 관계자를 노린 공격을 지속하고 있다.

이밖에도 지난 20일에는 한미관계와 외교안보 제목을 가진 악성 MS워드 문서가, 24일에는 미국 항공우주기업 채용 관련 문서로 둔갑한 악성 DOC 문서도 발견됐다.

미국과 인도의 항공우주기업 채용 문서로 위장한 악성파일 화면 (출처=이스트시큐리티)

이들 조직이 사용한 악성 DOC 문서는 동일한 명령제어(C2) 서버를 사용하고 있다. 이들 조직의 소행으로 알려진 작년 10월 인도 국영 항공우주 방위 회사의 채용 관련 문건 위장 공격과도 유사점이 있는 것으로 조사됐다.

ESRC는 라자루스가 해외 기관과 기업을 공격할 때, 채용 의뢰나 직무기술서로 위장한 이메일로 공격을 수행하는 일관성을 보이고 있다고 분석했다.

문종현 ESRC 센터장 이사는 "일명 라자루스는 한국과 미국 등을 대상으로 활동하는 대표적인 국가 차원 위협 요소 중 하나로, 사이버 침투 작전과 함께 온라인 은행, 비트코인 거래소 해킹 등을 통한 외화벌이를 조직적으로 수행하고 있다”며 “악성 문서 파일을 미끼로 주요 기업과 기관의 종사자들을 노리고 있고, 최근 위협 활동이 눈에 띄게 증가하고 있어 각별한 주의가 요구된다"고 밝혔다.