북한 연계 해킹 조직이 애플 맥 컴퓨터 이용자를 상대로 가짜 운영체제 업데이트 화면을 이용한 정교한 악성코드 유포 활동을 벌이고 있는 것으로 확인됐습니다. 가상자산 지갑 157개를 동시에 탈취할 수 있는 정보 탈취 프로그램이 사용된 것으로 드러났습니다. 조상진 기자가 보도합니다.
미국의 사이버 보안업체 '올시큐어(AllSecure)'는 30일 북한 연계 해킹 조직이 애플 맥 운영체제(macOS) 이용자를 겨냥한 새로운 악성코드 유포 활동을 벌이고 있다는 분석 보고서를 공개했습니다.
보고서에 따르면 이번 캠페인은 북한 해킹 조직이 오랫동안 사용해온 '전염성 인터뷰(Contagious Interview)' 방식의 새로운 변형으로, 이용자를 가짜 웹페이지로 유도한 뒤 맥 운영체제가 업데이트되는 것처럼 꾸민 전체 화면을 표시해 악성코드를 심는 방식입니다.
북한 해킹조직은 특히 이용자가 검색엔진에서 특정 기업 관련 광고 결과를 클릭하면 가짜 페이지가 열리면서 맥 운영체제가 재부팅되거나 멈춘 것처럼 보이는 화면이 나타나도록 설계했습니다.
보고서는 "이 화면은 이용자에게 공황 상태를 유발하도록 설계됐다"며 "컴퓨터가 멈추거나 재부팅되는 것처럼 보이기 때문에 운영체제가 오류를 일으킨 것으로 믿은 이용자가 평소라면 의심스럽게 여길 안내에 따르게 된다"고 설명했습니다.
이들은 가짜 업데이트 화면이 완료되면 이용자에게 터미널 앱을 열고 이미 클립보드에 복사된 명령어를 붙여넣도록 유도했으며, 이 명령어가 실행되면 악성 프로그램이 내려받아져 컴퓨터에 설치되도록 했습니다.
이 수법은 '클릭픽스(ClickFix)'라고 불리는 알려진 공격 기법으로, 올시큐어는 실제 사례에서 피해자가 특정 의료·연구 장비 판매업체를 검색하던 중 광고 결과를 클릭했다가 감염됐다고 밝혔습니다.
이번 악성 활동의 특징 가운데 하나는 가상화폐 일종인 이더리움 블록체인을 활용한 명령·제어 서버 운용 방식입니다.
악성코드가 이더리움 스마트 계약에서 실시간으로 서버 주소를 가져오는 이 방식은 '이더하이딩(EtherHiding)'이라고 불리는데, 서버를 강제로 차단하기 어렵다는 점에서 방어가 까다로운 것으로 알려져 있습니다.
보고서는 북한의 이러한 악성 활동의 최종 목표는 가상자산 탈취라고 지적했습니다. 공격 성공 시 157개 가상자산 지갑 정보와 크롬, 파이어폭스 등 주요 인터넷 브라우저에 저장된 정보를 탈취하는 프로그램이 설치됩니다.
여기에 더해 '구글 드라이브 오프라인'으로 위장한 악성 브라우저 확장 프로그램이 함께 설치돼 피해자의 가상자산 지갑을 직접 비워버리는 기능도 수행한다고 지적했습니다.
올시큐어의 크리스티안 파파타나시우 공동창업자 겸 최고경영자는 보고서를 통해 "북한 연계 캠페인은 주로 가짜 취업 면접이나 개발자 채용을 통한 공격으로 알려져 있지만 이번 사례는 동일한 공격 논리가 일반 웹 검색 환경에서도 나타나고 있음을 보여준다"며 "기존의 가짜 취업 패턴이 사라진 것이 아니라 위협 범위가 더 넓어진 것"이라고 지적했습니다.
미국 정부는 북한이 핵·미사일 개발 자금의 상당 부분을 이 같은 사이버 공격을 통해 조달하고 있다고 판단하고 있습니다.
VOA 뉴스
Forum