‘금성121’ 소행으로 추정…6월부터 지속적으로 진화·발전하며 공격 수행
[데이터넷] 북한 이탈주민을 돕기 위한 사이트와 전용 보안 메신저로 위장한 APT 공격이 지속적으로 발견되고 있다.
이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 공격자는 탈북자와 대북 단체, 외교, 안보, 통일 분야 관련자 등을 대상으로 이메일이나 모바일 메신저를 통해 ‘북한 이탈주민 모금운동’에 동참할 것을 요청한다.
공격자는 관련 웹사이트를 제작하고, 자체 제작한 정보 탈취용 메신저 앱 2가지를 구글플레이에 업로드했다. 이 악성앱은 ‘쓰리마(Threema)’, ‘위커(Wickr)’ 등 실제 존재하는 보안 메신저를 사칭하고 있으며, 사용자 의심을 피하기 위해 정상적인 앱 기능을 대부분 수행하도록 제작되었다. 현재 이 메신저는 구글플레이에서 삭제된 상태다.
공격자는 특정 분야 관련자를 대상으로 한 이메일 발송과 페이스북과 유튜브를 통해서도, 가짜 웹사이트 방문과 악성 앱 설치 유도를 홍보했다. 공격자의 의도대로 사용 중인 스마트폰에 악성 앱을 설치하게 되면, 가입 시 입력한 계정정보 유출은 물론 스마트폰이 좀비폰 상태로 변해 모든 정보가 외부로 유출될 수 있다.
ESRC는 “스마트폰의 경우는 업무용 PC나 가정용 PC에 비해 민감하고 개인적인 정보가 많이 저장되어 있고, 실시간으로 도청까지 가능하기 때문에 피해 규모가 더욱 커질 수 있다”며 “6월부터 지속적으로 진화하면서 발견되는 이 공격은 특정 정부의 후원을 받는 금성121 조직의 소행으로 분석된다”고 설명했다.
ESRC는 “이번 모바일 APT 공격은 카카오톡 메신저를 통해 6월부터 최근까지 악성 앱이 유포된 정황과도 연결되어 있다”며 “특히 이번 공격은 특정 분야 종사자에게 메신저로 먼저 대화를 시도해 특정 주제에 대한 이야기를 나누다, 보안을 위해 보안 메신저를 설치해 이야기를 계속하자고 제안하는 등 자연스럽게 악성 앱 설치를 유도하는 교묘한 수법을 사용하고 있다”고 밝혔다.
문종현 ESRC 센터장은 “이번 공격을 분석 및 추적한 결과, 페이스북과 유튜브와 같이 사용자가 친숙할 만한 채널을 이용해 탈북민과 대북 단체 관련자에게 악성 앱 설치를 유도하고 있었다”라며, “공격자가 커뮤니티 기반의 탈북민 후원 모바일 앱을 제작하고 SNS 등을 통해 해당 앱 설치를 홍보하는 방식으로, 감시 대상이나 공격 타깃을 한 곳으로 모아서 은밀하게 정보를 탈취하고 염탐하는 고도의 전략을 구사했다는 점을 주목해야 한다”고 강조했다.
한편 이 공격은 이스트시큐리티의 모바일 백신 ‘알약M’을 통해 차단하고 있으며, 상세한 분석 내용과 침해지표(IoC)는 ‘쓰렛인사이드(ThreatInside)’ 위협 인텔리전스 리포트를 통해 별도로 제공할 예정이다.
