[데이터넷] 국내 대북 분야 종사자를 대상으로 하는 APT 공격이 이어지는 가운데, 이 같은 유형의 공격에 유의하라는 내용을 담은 새로운 공격이 발견돼 관련 업계의 각별한 주의가 요구된다.
이스트시큐리티(대표 정상원)의 시큐리티대응센터(ESRC)가 발견한 이번 공격은 통일부 정착지원과의 모 사무관이 발송한 이메일로 위장하고 있으며, ‘최근 유명 인사를 노린 사이버 공격이 전방위로 진행되고 있어 안전에 유의를 부탁한다’는 내용과 ‘210811_업무연락(사이버안전).doc’ 이름의 악성 문서 파일을 첨부했다.
ESRC는 이번 공격이 최근 국내 사이버 보안 위협 증가에 따른 민관 사이버 위기 경보가 ‘정상’에서 ‘관심’ 단계로 격상됨에 따라, 사이버 보안에 대한 공직자와 대북 관계자의 관심이 높아져 첨부 파일을 열어볼 가능성이 크다는 점을 노린 것으로 분석했다.
악성 DOC 문서 파일 내부에 악성 매크로 코드가 숨겨져 있으며, 추가 악성 명령을 수행하기 위해 국내 특정 고시학원 사이트 서버를 탈취해 명령 제어 서버(C2)로 활용한 것으로 분석된다. 이메일 수신자가 첨부된 악성 DOC 문서를 열어보면, ‘호환성 문제로 콘텐츠를 불러올 수 없으며, 정상적인 문서 확인을 위해서 [콘텐츠 사용] 버튼을 클릭하라’는 내용의 위조된 안내 화면이 나타난다.
ESRC는 이번 공격이 북한 연계 해킹조직 ‘탈륨’이 수행한 작전명 ‘사이버 스톰’과 동일한 계열 코드를 사용하는 등 유사점이 발견됐다고 설명했다. 탈륨은 DOC 형식의 악성 문서를 활용해 국내 전·현직 고위 정부 인사 등을 상대로 해킹 공격을 시도해 왔다. PDF 취약점(CVE-2020-9715) 공격도 수행한 바 있으므로, PDF 파일은 안전하다고 안심해서는 안된다.
문종현 ESRC센터장은 “북한 연계 해킹 조직의 대남 사이버 공작 활동이 예사롭지 않다. 외교·안보·국방·통일 및 대북 분야에서 활동하는 고위 유력인사를 집중 겨냥해 공격을 수행하고 있다”며 “이메일로 PDF, DOC 형식의 문서를 전달받을 경우, 문서를 열어 보기 전 이메일 발신자에 전화 등을 통해 실제 발송 여부를 확인하는 것이 중요하다”고 당부했다.
이스트시큐리티는 새롭게 발견된 악성 문서 파일을 백신 프로그램 알약(ALYac)에서 탐지할 수 있도록 긴급 업데이트를 완료하였으며, 피해 확산 방지를 위한 대응 조치를 관련 부처와 긴밀하게 협력하고 있다.
