SNS로 친분 쌓은 후 악성파일 전달…금성121 소행으로 추정
[데이터넷] 이스트시큐리티(대표 정상원)는 국내 특정 인권단체 대표를 타깃으로 한 공격을 발견했다고 7일 밝혔다. 이번에 발견된 공격은 SNS를 통해 공격 대상과 친분을 만든 뒤 악성 파일을 전달하는 치밀함을 보였다.
공격자는 특정 인물의 SNS 계정을 해킹한 후, 친구 관계로 연결된 또 다른 사람을 물색해 추가 공격대상을 선정했다. 이후 공격대상에게 SNS 메신저를 사용해 가벼운 안부 인사와 함께 평소 비슷한 관심사나 가십거리로 대화하며, 경계심을 낮추고 친분을 확보했다. 그런 다음 자신이 작성한 최근 북한 정세와 관련된 칼럼에 대해 조언을 구하는 식으로, 악성 DOC 문서 파일을 공격대상에게 이메일로 전달하는 수법을 사용했다.
공격에 사용된 메일에는 ‘북한 최근 정세와 우리 안보’라는 제목의 문서가 첨부돼 있으며, 이 문서에는 악성 매크로 명령이 삽입돼 있다. 메일 수신자가 [콘텐츠 사용]을 허용할 경우 해킹 위협에 노출된다.
이스트시큐리티는 이번 공격은 북한 연계 해킹 그룹으로 알려진 ‘금성121’에 의한 것으로 보고 있으며, 악성 파일이 작년 3월 위장 탈북 증거를 사칭한 ‘스파이 클라우드’ APT 공격과 매우 유사하다는 것을 그 근거로 들었다. 다만, 이번 악성 파일에 삽입된 매크로 함수 중 난독화 루틴이 일부 변경된 것으로 확인됐다. 이 밖에도 코드 내부에서 사이버 무기를 의미하는 ‘Weapon’ 경로가 사용됐으며, ‘bluelight’ 문자열도 여러 차례 발견됐다.
금성121은 최근 대북 분야 언론매체를 겨냥한 워터링 홀 공격과 함께 안드로이드 기반 스마트폰 이용자를 노린 스미싱 공격까지 수행하고 있다. 이들이 사용한 안드로이드 기반 스마트폰 스미싱 공격은 악성 APK 앱이 설치되면 저장된 주소록, 문자 메시지, 통화 내역, 위치 정보, 녹음, 사진 파일 등 개인정보가 대거 유출된다. 이 방식의 공격에 사용된 악성 앱에서는 ‘kingbori hacker’라는 문자열이 공통적으로 발견됐다.
이스트시큐리티 ESRC센터장인 문종현 이사는 “금성121 조직은 특정 국회의원을 포함해 유명인사의 휴대폰을 해킹해 개인 정보를 탈취한 바 있고, 대북 전문 분야 단체의 홈페이지를 침해하거나 가짜 페이스북 계정 등을 만들어 북한 분야 종사자들을 지속적으로 노리고 있다”며 “특히 모바일이나 이메일로 마치 지인이나 업계 전문가 인척 연락하는 경우가 많아, APK, DOC 문서 등을 보내올 경우 반드시 발신자와 직접 통화해 사실 여부를 확인하고 열람하는 것이 안전하다”고 당부했다.
