이스트시큐리티는 국내 외교·안보·국방 분야 교수 및 민간 전문가를 겨냥한 북한 배후 해킹 공격 시도가 잇따르고 있다고 23일 밝혔다.

이번 공격은 이메일로 보내는 전형적인 '스피어 피싱(Spear Phishing)' 수법이 사용됐다. 보안 솔루션 행위 분석이나 기존에 알려진 패턴 탐지를 최대한 회피하기 위해 악성 DOC 문서에 별도 암호를 설정하고, 수신자만 열어보도록 이메일로 전달했다.

지난 21일 시도된 공격은 마치 한국의 군사연구 및 동북아 평화협회처럼 위장해 해당 분야 종사자들에게 '[붙임] 프로필 양식.doc' 이름의 악성 마이크로소프트(MS) 워드 DOC 문서를 전달한 점이 특징이다. 실제 수행된 공격 내용을 살펴보면 공격자는 사용자가 첨부된 악성 문서 파일을 열람하도록 유도하기 위해 간단한 프로필을 다음 날까지 작성해 보내도록 유인했다.

해당 악성 DOC 파일이 열리면 먼저 암호를 입력하는 과정을 거친 후 이름, 소속, 직위, 휴대폰 번호와 사진 등을 입력하는 프로필 양식 화면이 나타난다. [콘텐츠 사용] 매크로 실행 유도를 위해 가짜 MS오피스 안내 화면을 보여줬던 기존 방식과는 달리 별도 안내 화면이나 문구는 발견되지 않았다.

만약 사용자가 [콘텐츠 사용] 버튼을 클릭하면 악성파일 내부에 숨겨져 있는 매크로 명령이 작동해 공격자가 만든 해외 명령 제어(C2) 서버로 은밀히 통신을 진행한다. 이를 통해 사용자의 키보드 입력 등 개인 정보 탈취 및 추가 악성 파일에 감염되는 해킹 피해로 이어질 수 있다.

특히 사례금 지급용 정보나 외부 활동에 필요한 프로필 양식 등으로 현혹해 피해자들이 주요 개인정보를 공격자에게 보내는 등 이중 피해로 이어질 수 있어 각별한 주의가 필요한 상황이라고 회사 측은 설명했다.

이번 프로필 양식으로 위장한 공격은 지난해부터 지속 포착되고 있는 유형으로, 기존 북한 연계 해킹 조직이 사용하던 매크로 코드와 감염 수법이 100% 동일한 것으로 분석됐다.

문종현 이스트시큐리티 ESRC 센터장은 "이번 달에도 국내 외교·안보·국방·통일 분야 종사자를 대상으로 한 북한 연계 사이버 위협은 꾸준히 발견되고 있다"며 "특히 다가오는 대통령 선거 기간 중 사이버 안보 대비태세가 어느 때보다 중요한 시점으로 평소 보지 못했던 주소나 사전에 협의되지 않은 이메일은 반드시 발신자에게 전화로 발송 여부를 확인하고 열람하는 것이 안전하다"고 강조했다.

김가은 기자 7rsilver@techm.kr