[데이터넷] 최근 국가정보원과 독일헌법보호청이 북한 배후 공격그룹 ‘킴수키(Kimsuky)’의 활동에 대해 공동 보안 권고문을 발표했다. 이에 안랩은 킴수키 그룹의 지난해 사이버 공격 동향을 분석한 보고서를 ‘안랩 TIP’에 공개했다.
킴수키는 타깃이 된 개인, 조직 구성원을 속이기 위해 최적화된 스피어피싱 수법을 적극적으로 활용했다. 타깃 조직 및 개인과 연관성이 높은 주제로 좌담회∙자문요청서∙연구 결과보고서 등을 위장한 악성문서를 제작해 악성코드 유포에 활용했다. 문서나 이메일 등을 실제와 분간이 어려울 정도로 정교하게 제작한 것으로 미루어 볼 때, 공격그룹은 타깃에 대한 치밀한 사전 조사를 수행한 것으로 추정된다.
킴수키는 2020년경부터 키로깅 악성코드 ‘플라워파워(FlowerPower)’, 백도어 악성코드 ‘애플시드(AppleSeed)’를 사용해왔으며, 웹브라우저 내 각종 정보를 유출하는 ‘인포스틸러’, 원격제어 악성코드 ‘RAT’도 사용했다.
유명 소프트웨어 취약점도 악용했다. 안랩은 킴수키 그룹이 사용한 것으로 보이는 FTP 서버에서 MS 오피스 관련 취약점 ‘폴리나(Folina, CVE-2022-30190)’를 악용하는 악성코드를 발견했다. ‘폴리나’ 취약점은 지난해 1월 제로데이 취약점으로 파악됐고, 6월에 패치가 배포됐다. 그러나 보안패치를 적용하지 않은 조직과 개인은 해당 취약점을 활용한 공격에 노출될 수 있다. 폴리나 취약점을 악용하면 사용자가 악성 워드 파일을 열기만 해도 악성코드에 감염될 수 있기 때문에 조직과 개인은 사용하고 있는 SW의 보안패치를 반드시 적용해야 한다.
안랩 관계자는 “킴수키 그룹은 명확한 타깃을 설정하고, 이 타깃에 대해 고도화된 공격을 진행하는 것으로 나타났다”며 “킴수키 그룹은 앞으로도 다양한 방식으로 공격 수법을 변화시킬 것으로 보이기 때문에, 조직과 개인은 최신 사이버 위협 정보를 습득하고 기본 보안수칙을 일상에서 실천해야 한다”고 말했다.
