클라우드 폴더 공유 초대로 위장한 北 해킹 공격 포착

피싱 서버로 접속돼 이용자 비밀번호 탈취 시도

이스트시큐리티(대표 정진일)는 국내 포털의 클라우드 공유 초대 서비스 내용처럼 위장한 북 연계 해킹 공격이 최근 잇따라 포착됐다고 9일 밝혔다.

이번 공격은 국내 이용자가 많은 서비스를 교묘하게 사칭해, 주로 대북 분야에 종사하는 전문가나 기자들을 상대로 피싱 공격을 진행하고 있는 것으로 드러났다.

지난 토요일에 수행된 공격은 마치 ‘북핵개발 역사와 북미관계 발전전망’ 파일을 공유한 것처럼 현혹했으며, 클라우드 공유 초대자를 과거 정부 때 국가정보원 해외·북한 담당 1차장을 지냈던 인물의 이름을 도용해 전달한 것이 특징이다.

클라우드 파일 공유 초대로 위장한 메일을 배포해 이용자 비밀번호를 탈취하려는 북한 연계 해킹 시도가 발견됐다. (이미지=이스트시큐리티)

해킹 공격 메일 본문에는 공유 초대 수락 버튼 클릭을 유도하기 위해, "북한 8차 당대회의 전략노선 및 대남정책 변화 전망을 1건 보내드립니다. 참고하시면 다른 분들께도 도움이 되실 것 같아 이 파일을 공유합니다."라는 초대 메시지까지 포함했다. 

이스트시큐리티 시큐리티대응센터(ESRC)의 분석 결과, 해킹 메일 본문에 포함된 공유 초대 [수락] 버튼을 클릭할 경우 ‘share.myboxes.navers[.]tech’, ‘view.boxfile[.]click’ 등의 피싱 서버로 접속돼, 이용자의 비밀번호 탈취를 시도한 것으로 밝혀졌다.

공격자가 포털 클라우드 서비스의 공유 초대 기능을 직접 사용한 것은 아니지만, 해킹 메일 본문이 실제 정상 서비스의 디자인 및 문구와 거의 흡사하게 모방해, 평소 해당 공유를 받아본 경험이 있는 수신자라면 별다른 의심 없이 해킹 위협에 노출될 우려가 크다고 ESRC는 분석했다.

ESRC는 주요 침해 지표(IoC)와 위협 전략까지 종합적으로 분석한 결과, 이번 공격이 'KGH'로 분류된 북한 정찰총국 연계 해킹 조직의 소행이라는 결론을 내렸다. 

이스트시큐리티 ESRC 관계자는 "오는 22일부터 한미연합훈련이 실시되는 가운데, 북한 배후로 지목된 사이버 공세가 갈수록 거세지고 있다"며 "특히, 평소 주변에서 자주 접하던 내용처럼 위장한 생활 밀착형 이메일 해킹 공격에 노출되지 않도록 개인과 기업 모두 사이버 안보에 대한 관심과 경각심을 높이고 보안 사각지대와 불감증을 제거해, 보안에 만전을 기해야 하는 시기"라고 주의를 당부했다.