북한 연계 해킹 조직이 전 세계 개발자들이 사용하는 오픈소스 소프트웨어 라이브러리를 조직적으로 공격해 온 것으로 나타났습니다. 세계 최대 전자상거래 기업 아마존은 인공지능을 활용한 공격 고도화도 확인됐다며 분석 결과를 발표했습니다. 조상진 기자가 보도합니다.
아마존이 29일 공식 보안 보고서를 통해 북한 연계 해킹 조직이 전 세계 소프트웨어 개발에 광범위하게 쓰이는 오픈소스 라이브러리 4개를 공격한 배후임을 처음으로 공개했습니다.
아마존 위협정보팀은 이 보고서에서 전 세계 소프트웨어 개발자들이 공유해 사용하는 프로그래밍 구성 요소, 이른바 오픈소스 라이브러리인 '액시오스(axios)', '디버그(debug)', '초크(chalk)', '타이포-크립토(typo-crypto)' 등 4개 침해 사건이 모두 동일한 북한 연계 해킹 조직의 소행이라고 밝혔습니다.
이 조직은 보안 업계에서 '사파이어 슬릿', '스타더스트 천리마', '블루노로프', '케이지 카멜레온', '얼루링 피시스' 등 다양한 이름으로 추적돼온 집단으로 모두 북한 연계 해킹 조직입니다.
이 가운데 ‘액시오스’는 주간 다운로드 수가 1억 회를 넘는 프로그래밍 구성 요소로, 전 세계 수많은 기업과 개발자의 소프트웨어에 내장돼 있습니다.
아마존은 ‘액시오스’ 사건이 북한 조직의 소행으로 이전에도 공개 지목된 바 있지만, 타이포-크립토, 디버그, 초크 등 나머지 사건까지 동일 조직과 연결된 것은 이번에 처음 공개되는 내용이라고 밝혔습니다.
이들에 대한 공격 방식은 모두 동일한 패턴을 따랐습니다. 아마존 보고서에 따르면 북한 해커들은 소셜 엔지니어링 기법으로 해당 라이브러리를 관리하는 신뢰받는 유지 관리자를 공략해 접근 권한을 획득한 뒤 악성 코드가 심어진 업데이트를 배포했는데, 자동 업데이트 설정이 된 모든 조직이 감염된 버전을 받게 되는 구조입니다.
아마존은 이러한 공급망 공격의 파급력이 매우 크다고 경고했습니다. 보안업체 위즈 리서치의 분석을 인용해 ‘디버그’와 ‘초크’ 공급망 사건의 경우 두 시간 만에 전체 클라우드 환경의 약 10%가 영향을 받았다고 설명했습니다.
아마존은 "소수의 인기 라이브러리를 침해하면 수천 개의 하위 환경에 동시에 접근할 수 있어 조직을 하나씩 공격하는 것보다 훨씬 효율적"이라고 분석했습니다.
북한의 공격 수법도 날로 진화하고 있습니다. 아마존은 최근 북한 등 위협 행위자들이 악성 코드를 여러 개의 겉보기에 무해한 패키지로 분산 배포하는 방식으로 보안 탐지를 회피하고 있다고 설명했습니다.
각 패키지는 단독으로는 악성 행위가 없어 보이지만 함께 사용될 때 공격이 완성되는 구조입니다.
또한 공개 저장소에 등록된 라이브러리 자체는 정상이지만, 외부 서버에서 나중에 악성 기능을 내려받는 방식도 확인됐습니다.
보고서는 특히 인공지능을 활용한 북한의 공격 고도화가 새로운 위협으로 부각됐다고 지적했습니다. AI가 이제 자연스러운 코드, 그럴듯한 문서, 가짜 관리자 신원까지 생성할 수 있어 과거에 악성 패키지를 식별하던 특징들이 사라지고 있다고 경고했습니다.
그러면서 앞으로 AI 기반 코드 검사 시스템 자체를 속이기 위한 공격도 늘어날 것으로 전망했습니다.
미국 정부는 북한이 핵·미사일 개발 자금의 상당 부분을 사이버 공격을 통해 조달하고 있다고 판단하고 있습니다.
VOA 뉴스
Forum