이메일 그냥 열었다가 ‘킴수키’에 당한다…고도화하는 북한발 해킹

북한 정찰총국과 연관성이 있다고 알려진 해킹그룹 ‘킴수키(Kimsuky)’가 지난해 스피어피싱 방식을 주로 사용해 사이버 공격을 수행한 것으로 나타났다. 악성코드의 종류를 늘리고, 늦게 패치가 나온 허점을 이용하는 등 공격 기법이 한층 고도화됐다는 분석이다.

안랩은 24일 ‘킴수키 그룹 2022년 동향 보고서’를 자사의 차세대 위협 인텔리전스 플랫폼 ‘안랩 TIP’에 공개했다.

안랩은 유관 악성코드, 커맨드 앤드 컨트롤(C2) 서버 등의 정보를 수집해 기존 킴수키 그룹이 수행한 것으로 알려진 공격 방식과 비교·대조해 킴수키의 공격 방식을 분석했다. 보고서는 이를 바탕으로 작년 킴수키 그룹의 악성코드 유포 방식 및 공격 특징 등을 담은 리포트다.

보고서에 따르면 지난해 킴수키 그룹은 타깃이 된 개인, 조직 구성원을 속이기 위해 최적화된 스피어피싱 수법을 적극 활용했다. 스피어피싱은 특정인이나 특정 조직을 표적으로 정교하게 제작된 메일 등을 보내는 방식이다. 믿을 만한 관계사나 지인 등을 사칭해 의심없이 메일을 열도록 하고, 악성코드에 감염시키거나 피싱사이트 접속을 유도한다.

공격자는 타깃 조직 및 개인과 연관성이 높은 주제로 좌담회∙자문요청서∙연구 결과보고서 등으로 위장한 문서를 악성코드 유포에 활용했다. 안랩 관계자는 “문서나 이메일 등을 실제와 분간이 어려울 정도로 정교하게 제작한 것으로 미뤄볼 때 공격그룹은 타깃에 대한 치밀한 사전 조사를 수행한 것으로 추정된다”고 설명했다.

킴수키 그룹은 악성코드의 종류도 늘렸다. 안랩이 수집한 유관 악성 인터넷주소(URL) 및 파일 전송 프로토콜(FTP) 서버를 분석한 결과, 키로깅 악성코드인 ‘플라워파워’와 백도어 악성코드인 ‘애플시드’를 비롯해 웹브라우저 내 각종 정보를 유출하는 악성코드 ‘인포스틸러’, 원격제어 악성코드인 ‘RAT’도 추가로 발견됐다.

키로깅 악성코드는 사용자의 키보드 움직임을 읽어 아이디나 패스워드, 계좌번호, 카드번호 등 개인정보를 탈취하는 악성코드다. 백도어 악성코드는 공격자가 차후 공격을 수행할 목적으로 뒷문처럼 마음대로 드나들 수 있도록 하기 위해 시스템에 설치하는 악성코드를 말한다.

널리 알려진 소프트웨어의 취약점을 악용한 공격 시도도 포착됐다. 안랩은 킴수키 그룹이 사용한 것으로 보이는 FTP 서버에서 마이크로소프트 오피스와 관련 취약점인 ‘폴리나’를 악용하는 악성코드를 발견했다.

폴리나 취약점은 취약점은 지난해 1월 아직 보안 패치가 발견되지 않은 취약점을 뜻하는 제로데이 취약점으로 파악된 뒤 같은해 6월에야 패치가 배포됐었다. 이에 아직 보안패치를 적용하지 않은 조직과 개인은 공격에 노출될 수 있다는 게 안랩의 설명이다.

안랩을 피해를 예방하기 위해 조직 보안담당자가 ▲조직 내 PC∙운영체제∙SW∙웹사이트 등에 대한 보안 현황 파악 ▲OS∙SW 취약점 상시 파악 및 보안 패치 적용 ▲보안 솔루션∙서비스 활용 및 내부 임직원 보안교육 실시 ▲최신 공격동향 및 취약점 정보 확보 및 정책 수립 등을 수행하라고 조언했다.

또한 개인은 ▲출처가 불분명한 메일 속 첨부파일∙URL 실행 자제 ▲SW∙운영체제∙인터넷 브라우저 등 최신 보안 패치 적용 ▲로그인 시 비밀번호 외에 이중인증 사용 ▲백신 최신버전 유지 및 실시간 감시기능 실행 등 보안수칙을 지키라고 강조했다.

안랩 관계자는 “주요 해킹그룹인 킴수키 그룹은 명확한 타깃을 설정하고 이 타깃에 대해 고도화된 공격을 진행하는 것으로 나타났다”면서 “앞으로도 다양한 방식으로 공격 수법을 바꿀 것으로 보이기 때문에 조직과 개인은 최신 사이버 위협 정보를 습득하고 기본 보안수칙을 일상에서 실천해야 한다”고 말했다.

글. 바이라인네트워크
<이진호 기자>jhlee26@byline.network