북한 해커, 외교·안보 종사자에 악성 PDF 유포

ESRC "악성 DOC 문서 쓰다 전략 변환"

보안 기업 이스트시큐리티(대표 정상원)는 3일 국내에서 악성 PDF 파일을 활용하는 새로운 형태의 지능형지속위협(APT) 공격이 계속 발견되고 있다고 밝혔다.

이스트시큐리티 시큐리티대응센터(ESRC) 분석에 따르면, 이번 공격은 지난 5월부터 현재까지 국내 외교, 안보, 국방, 통일 분야 전·현직 종사자 등을 대상으로 하는 해킹 공격에 사용된 것으로 확인됐다.

ESRC는 이번 PDF 취약점 공격을 분석, 북한 연계 해킹 조직으로 알려진 ‘탈륨’을 위협 배후로 지목했다. 이 조직은 최근까지 MS 워드 문서 파일(DOC, DOCX)의 매크로 기능을 악용하는 감염 기법을 주로 활용해왔으나, PDF 취약점을 활용한 사례가 발견된 것은 이번이 처음이다.

탈륨은 지난 2021년 한미 정상 회담 기간에도 외교·안보·통일 및 대북 분야 전문가를 상대로 DOC 문서를 악용하는 방식의 해킹 공격을 시도했다는 게 ESRC 분석이다.

이메일에 첨부된 악성 PDF 파일은 국내 특정 사단법인이 주관하는 ‘평화 경제 최고경영자 과정’ 안내 자료를 사칭하고 있으며, 실제로 파일을 열어보면 관련 안내 자료가 보여진다.

악성 PDF 문서가 실행되면 보여지는 화면 중 일부(출처=ESRC)

메일 수신자가 문서를 열어보면, PDF 파일 내부에 은닉된 스크립트 코드가 작동된다. 조건에 따라 추가 악성 파일을 설치해 개인정보 탈취나 원격제어 등을 시도할 수 있다.

공격자는 악성 행위 탐지와 분석 환경을 회피하기 위해, 감염된 PC가 사용하고 있는 국내 보안 프로그램을 조회하고 레지스트리 키를 통해 가상 환경 여부도 확인하는 치밀함을 보였다.

ESRC 관계자는 “일반적으로 PDF 형식의 문서 파일이 보안으로부터 안전하다는 인식이 있어, 자칫 보안 수칙 준수를 허술히 할 수 있다”며, “이번 공격에 활용된 PDF 취약점은 또 다른 공격에도 은밀히 사용될 수 있기 때문에, 외교·안보·국방·통일 분야 전문가들은 더이상 PDF 문서 파일도 안전하지 않다는 인식을 가지고 각별히 주의를 기울여야 한다”고 말했다.