국가배후 해킹조직, 뉴스·병원 사이트 악용…국내 이용자 공격 주의

국가정보원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원, 민·관 합동분석협의체(이하 작성기관)는 국가배후 해킹조직이 악성 메일과 정상 웹사이트를 악용해 국내 국민과 기업을 공격하고 있다며 30일 합동 사이버보안 권고문을 발표했다. 민·관 합동분석협의체에는 안랩과 에스투더블유(S2W), 엔키화이트햇, 플레인비트가 권고문 작성에 참여했다.

작성기관에 따르면, 국가배후 해킹조직은 이력서와 채용 제안, 투자, 기부 관련 내용으로 위장한 메일을 보내 악성 링크나 첨부파일을 열도록 유도했다. 공격자는 직접 개설하거나 해킹한 블로그와 깃허브(GitHub), 정상 웹사이트 주소를 메일에 넣었다.

채용 제안 메일에는 ‘고연봉 일자리’나 ‘문서보안이 적용된 채용 제안서’ 같은 문구를 사용했다. 실제 헤드헌터의 계정을 탈취해 메일을 보내기도 했다. 첨부된 압축파일이나 문서 실행 파일을 열면 악성코드에 감염되는 방식이다.

정상 웹사이트를 악성코드 유포 경로로 사용하는 ‘워터링홀’ 공격도 이어지고 있다. 워터링홀은 공격 대상이 자주 방문하는 웹사이트를 미리 해킹한 뒤 방문자의 컴퓨터를 감염시키는 수법이다.

공격자는 인터넷 뉴스와 병원 사이트처럼 이용자가 많은 웹사이트뿐 아니라 보안 관리가 미흡한 소규모 사이트도 악용했다. 웹사이트 소스코드를 변조하거나 악성코드를 숨겨 기존 보안관제로 탐지하기 어렵게 만드는 수법도 사용했다.

사용자의 컴퓨터에 오래된 전자서명이나 보안인증, 키보드 보안 프로그램이 설치돼 있으면 감염 위험이 커진다. 공격자가 심어둔 악성코드는 별도 설치 안내 없이 취약점을 악용한다. 화면도 평소와 같아 사용자가 감염 사실을 알아차리기 어렵다.

악성코드에 감염되면 크롬과 엣지 등 웹브라우저에 저장한 계정과 비밀번호가 유출될 수 있다. 사용자가 직접 입력한 아이디와 비밀번호, 카드번호도 공격자에게 넘어갈 수 있다. PC에 저장한 문서와 사진, 연락처뿐 아니라 공용 폴더와 내부 클라우드 자료도 유출 대상이다. 공격자는 화면을 캡처해 메신저 대화와 사용자의 활동을 감시할 수도 있다.

감염된 PC는 추가 공격을 위한 발판으로 쓰인다. 같은 사무실이나 가정의 인터넷 공유기, 공유 폴더에 연결된 다른 PC로 악성코드가 확산될 수 있다. 공격자는 소스코드와 고객정보, 인사자료, 영업비밀을 빼돌린 뒤 공개하겠다며 금전을 요구하기도 한다.

작성기관은 개인 이용자에게 운영체제와 웹브라우저, 보안 프로그램을 최신 상태로 유지하고 사용하지 않는 오래된 프로그램은 삭제하라고 권고했다. 중요 계정에는 일회용 비밀번호(OTP)나 인증 앱을 이용한 2단계 인증을 적용해야 하고, 웹브라우저에 비밀번호를 저장하는 것도 자제해야 한다.

출처가 불분명한 메일의 첨부파일과 링크는 열지 않아야 한다. 업무 관련 메일이라도 발신 기관의 공식 연락처를 통해 내용을 다시 확인할 필요가 있다. 기업 보안 담당자는 조직이 사용하는 소프트웨어와 자산을 파악하고 보안 패치를 일괄 적용해야 한다. 중요 서버와 업무용 PC는 외부 인터넷 접속을 차단하거나 다른 네트워크와 분리하는 방안도 제시됐다.

호스팅 사업자와 홈페이지 운영자는 관리자 페이지 접근을 통제하고 웹셸과 악성 스크립트 삽입 여부를 점검해야 한다. 웹셸은 공격자가 웹서버를 원격으로 조종하기 위해 설치하는 악성 파일이다. 웹방화벽을 운영하고 접속 기록도 보관해야 한다.

소프트웨어 개발사는 취약점 신고 접수부터 보안 패치 개발과 배포까지 이어지는 대응 체계를 갖춰야 한다. 설계와 구현, 배포 전 단계에서 취약점을 점검하고 소스코드와 빌드 환경의 무결성도 관리해야 한다. 아울러 오픈소스를 사용할 때는 알려진 취약점을 사전에 확인해야 한다. 소프트웨어 구성요소를 기록한 소프트웨어 자재명세서(SBOM)를 관리하고 신뢰할 수 있는 저장소에서 프로그램을 내려받는 공급망 보안 대책도 필요하다.

작성기관은 “국가 배후 해킹사고 의심 및 유사사례 발견 시 아래 관련 기관에 문의해달라”며 “합동 사이버보안 권고문과 관련된 기술적 정보를 포함하여 모든 비정상적인 활동이나 행위를 신고해달라”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network