대통령 선거가 2주 앞으로 다가온 가운데 국내 외교, 안보, 국방 부문을 겨냥한 북한 배후 소행의 해킹 공격 시도가 연일 포착되고 있어 각별한 주의가 요구된다.
보안 전문 기업 이스트시큐리티는 23일 보도자료를 통해 “외교, 안보, 국방, 분야 교수 및 민간 전문가를 겨냥한 북한발 APT(지능형지속위협) 공격 지속하고 있다”며 “지난 21일 시도된 공격은 마치 한국의 군사 연구 및 동북아 평화 협회처럼 위장됐다”고 전했다.
이스트시큐리티는 이어 “해당 분야 종사자들에게 ‘[붙임] 프로필 양식.doc’ 이름의 악성 MS Word DOC 문서를 전달한 것이 특징이다”며 “(공격자는) 강의 및 기고문 작성에 필요한 프로필 양식 작성으로 현혹해 악성 문서 열람하도록 유인했다”고 설명했다.
그러면서 단체는 “이번 프로필 양식으로 위장한 공격은 이미 2021년부터 꾸준히 포착되고 있는 유형이다”며 “기존 북한 연계 해킹 조직이 사용하던 매크로 코드와 감염 수법이 100% 같은 것으로 분석됐다”고 밝혔다.
아울러 이스트시큐리티는 “2월에도 북한 연계 사이버 위협 활동이 꾸준히 포착되고 있다”며 “이들의 공격 의도를 정확히 규명하기 위해 다각적인 분석을 진행 중이다”고 덧붙였다.
이번 공격은 이메일로 보내는 전형적인 스피어 피싱(Spear Phishing) 수법이다. 여기에 한발 더 나아가 보안 솔루션의 행위 분석이나 기존에 알려진 패턴 탐지를 최대한 회피하기 위해 악성 DOC 문서에 별도의 암호가 설정돼 있었다.
해당 악성 DOC 파일에 암호를 입력하면 이름, 소속, 직위, 휴대전화 번호와 사진 등을 입력하는 간략한 프로필 양식 화면이 나타난다.
다만, 이번 공격에는 DOC 악성 문서가 ‘콘텐츠 사용’ 매크로 실행 유도를 위해 보여주는 가짜 MS오피스 안내 화면은 없었다.
사용자가 문서를 열람한 후 상단의 ‘콘텐츠 사용’ 버튼을 누르면 악성 파일 내부에 숨겨져 있는 매크로 명령이 작동된다. 악성코드가 작동하면 이용자 몰래 공격자가 만든 해외 명령 제어(C2) 서버로 은밀히 통신을 진행하며, 사용자가 입력하는 키보드 입력 등의 개인 정보 탈취 및 추가 악성 파일에 감염된다.
이스트시큐리티 ESRC 센터장 문종현 이사는 “2월에도 국내 외교·안보·국방·통일 분야 종사자를 대상으로 한 北 연계 사이버 위협은 꾸준히 발견되고 있다”며 “특히 다가오는 대통령 선거 기간 중 사이버 안보 대비태세가 어느 때보다 중요한 시점으로 평소 보지 못했던 주소나 사전에 협의가 이뤄지지 않은 이메일은 반드시 발신자에게 전화로 발송 여부를 확인하고 열람하는 것이 안전하다”고 당부했다.
