외교·안보·국방 분야 종사자 노린 북한발 해킹 시도 포착

정보보호 전문 업체 이스트시큐리티(대표 정상원)는 23일 "대선이 다가오는 가운데 국내 외교, 안보, 국방분야 교수 및 민간분야 전문가를 겨냥한 북한 배후 소행의 해킹 공격 시도가 연일 포착되고 있다"며, 각별한 주의를 당부했다.

이스트시큐리티는 지난 21일 시도된 공격을 일례로 소개했다. 공격자들은 마치 한국의 군사연구 및 동북아 평화 협회처럼 위장해, 관련 종사자들에게 '[붙임] 프로필 양식.doc' 이름의 악성 MS 워드 DOC 문서를 전달했다. 

보안 솔루션의 행위 분석이나 기존에 알려진 패턴 탐지를 최대한 회피하기 위해 악성 DOC 문서에 별도의 암호를 설정하고, 수신자만 열어보도록 이메일로 전달한 것이 특징이다.

악성 DOC 문서가 실행 화면 이미지

실제 수행된 공격 내용을 살펴보면, 공격자는 피해 대상자로 하여금 첨부된 악성 문서 파일을 조속히 열람하도록 유도하기 위해 간단한 약력의 프로필을 수신한 다음 날까지 작성해 보내도록 요청한 부분이 공통적으로 관측됐다.

해당 악성 DOC 파일이 열리면 먼저 암호를 입력하는 과정을 거친 후에 이름, 소속, 직위, 휴대폰 번호와 사진 등을 입력하는 간략한 프로필 양식 화면이 나타나는데 기존에 DOC 악성 문서가 [콘텐츠 사용] 매크로 실행 유도를 위해 보여주는 가짜 MS오피스 안내 화면을 보여주지는 않는다.

만약 문서를 열람한 수신자가 [콘텐츠 사용] 버튼을 클릭하면 악성파일 내부에 숨겨져 있는 매크로 명령이 작동해 이용자 몰래 공격자가 만든 해외 명령 제어(C2) 서버로 은밀히 통신을 진행하며, 사용자가 입력하는 키보드 입력 등의 개인 정보 탈취 및 추가 악성 파일에 감염되는 예기치 못한 해킹 피해로 이어질 수 있게 된다.

공격자들이 C2 서버 구축을 위해 무료로 제공하는 해외 웹프리호스팅 서비스에 가입해 지속적으로 해킹 공격 거점으로 악용하고 있는 중이다.

특히, 소정의 사례금 지급용 정보나 외부 활동에 필요한 프로필 양식 등으로 현혹해 피해자들이 직접 자신의 주요 개인정보를 공격자에게 보내는 2중 피해로 이어질 수 있어 각별한 주의가 요구된다. 

이번 프로필 양식으로 위장한 공격은 이미 2021년부터 꾸준히 포착되고 있는 유형으로 기존 북한 연계 해킹 조직이 사용하던 매크로 코드와 감염 수법이 100% 동일한 것으로 분석됐다.

이스트시큐리티 시큐리티대응센터(ESRC)는 2월에도 일명 페이크 스트라이커 위협 캠페인으로 명명된 북한 연계 사이버 위협 활동이 꾸준히 포착되고 있어, 이들의 공격 의도를 정확히 규명하기 위해 다각적인 분석을 진행 중이다.

이스트시큐리티 ESRC 센터장 문종현 이사는 "2월에도 국내 외교·안보·국방·통일 분야 종사자를 대상으로 한 북한 연계 사이버 위협은 꾸준히 발견되고 있다"며, "특히 다가오는 대통령 선거 기간 중 에는 평소 보지 못했던 주소나 사전에 협의되지 않은 이메일은 반드시 발신자에게 전화로 발송 여부를 확인하고 열람하는 것이 안전하다"고 당부했다.