대북 관계자 노려 '미인계' 쓰는 사이버공격 포착

이메일-카톡으로 연락 지속하다 악성 파일 전송

보안 전문 기업 이스트시큐리티(대표 정상원)는 특정 정부가 연계된 것으로 알려진 사이버 위협 그룹 일명 ‘금성121’ 해커들이 새로운 공격 시나리오로 지능형지속위협(APT) 공격을 수행하고 있다고 8일 밝혔다.

금성121 그룹은 최근까지 다양한 해킹 사례의 배후로 지목되고 있으며, 라자루스, 김수키, 코니 등과 함께 대한민국을 주무대로 활동하는 대표적인 위협 조직 중 하나다.

이스트시큐리티 시큐리티대응센터(ESRC)의 위협 분석 결과에 따르면, 이들은 통일 정책 분야 연구원으로 변장해 공격 대상의 스마트폰 전화번호 등 개인정보를 1차 수집하고 일정 기간 후 상대방과 성별이 다른 카카오톡 프로필을 만들어 해킹을 시도하고 있다. 가령 공격 대상자가 남성일 경우 미모의 여성 사진과 이름으로 접근했다.

해커는 먼저 대북 분야에서 활동하는 주요 인사들을 선별했다. 이들에게 자신이 통일 정책 분야의 기관에 새로 근무하게 된 여성 선임 연구원처럼 사칭한 가짜 소개 이메일을 보낸다.

해당 이메일에는 기존 스피어피싱 공격처럼 별도의 악성 파일이나 위험한 URL 링크를 포함하지 않고 평범한 소개와 인사 내용만을 담고 있어 해킹 의심을 최소화한다. 이메일을 수신한 다수의 사람에게 확인 차 회신을 요청하고, 일부 답신한 사람들에게 연락 목적으로 전화번호 등을 요구한다.

해커는 이런 소통 과정을 통해 공격 대상자의 스마트폰 전화번호를 확보하고, 일정 기간이 지난 다음 가상의 새로운 인물로 위장해 카카오톡으로 접근을 시도한다.

카카오톡으로 연결된 이후에는 최소 1달 이상 극히 일상적인 대화와 정상적인 사진, 문서 파일 등을 여러 차례 공유하며 최대한 의심을 피하며 대화를 지속한다.

친밀감을 높이고 안심했다고 생각하는 시점에 해커는 위협 요소가 포함된 자료를 전달한다.

ESRC 관계자는 “특정 정부 후원을 받는 금성121은 PC기반 공격뿐만 아니라 스마트폰을 상대로 다양한 형태의 APT 공격을 시기적절하게 수행하고 있다”고 설명했다.

실제로 이 조직은 지난 3월 외교, 통일, 안보분야 종사자나 대북관련 단체장, 탈북민을 겨냥한 위협을 가속화하면서 웹 서버를 직접 디자인해 구축하는 등의 공격을 수행했다. 특히, 구글 플레이 공식 앱 마켓이나 유튜브를 통한 신뢰 기반의 공격이 타 APT 조직과 차별화되는 특징이다.

문종현 ESRC 센터장 이사는 "일명 ‘금성121’ 조직은 한국의 정치적인 상황과 맞물려 통일 및 대북 관계자를 겨냥한 대표적인 위협 배후로 다양한 모바일 서비스를 활용한 위협 활동을 지속하고 있다”며, “최근까지 모바일 기반으로 공격 대상자를 선별해 진행하고 있어, 모르는 사람이 대화를 시도해 올 경우 함부로 친구 관계를 맺지 않도록 하고, 반드시 별도의 신분 확인 절차와 보안 의식 생활화가 필요하다"고 밝혔다.

또한 문 이사는 "금성121은 최근까지 매우 활발한 위협 활동의 중심에 서 있는 조직으로 다년간 대한민국을 상대로 여전히 APT 공격을 수행 중이다”라며,. “따라서 체계적인 연구와 대응 노력이 필요하다"고 강조했다.