북한과 관계 있는 것으로 분석된 가짜 채용 공격에서 표적 수집부터 악성 프로그램 실행과 비밀번호 확보까지 관리하는 시스템이 발견됐습니다. 프랑스 보안업체는 공격자들이 약 50개 브랜드를 사칭하고, 가짜 제안에 반응한 사람들의 행동을 단계별로 추적하도록 체계를 갖췄다고 밝혔습니다. 조상진 기자가 보도합니다.
북한이 배후로 지목된 가짜 채용 해킹의 실체가 또다시 공개됐습니다.
프랑스 사이버보안업체 ‘스톰실드(Stormshield)’는 11일 공개한 보고서에서 북한 연계로 판단한 ‘트라이그램(Trigram)’ 공격의 관리 플랫폼과 내부 운영 자료를 분석한 결과를 발표했습니다.
북한이 운용한 시스템에는 개발자 정보를 모으고 이메일을 대량 발송한 뒤, 표적마다 공격이 어디까지 진행됐는지 확인하는 기능이 포함돼 있었습니다.
이번 활동은 미국과 유럽의 인공지능과 블록체인, 물류 분야 등을 겨냥했으며, 약 50개 기업·브랜드를 사칭한 것으로 분석됐습니다.
표적 수집부터 비밀번호 확보까지 한곳에서 관리
스톰실드는 공격자가 운영하는 서버의 설정과 프로그램 코드, 내부 설명 자료 등을 통해 관리 체계를 파악했다고 밝혔습니다.
플랫폼에는 개발자들이 사용하는 코드 공유 서비스 깃허브(GitHub)에서 표적 정보를 수집하는 방법이 담겨 있었습니다.
또 여러 이메일 발송 서비스를 이용해 접근하고, 수신자가 메일을 열었는지와 답장을 보냈는지도 확인할 수 있도록 했습니다.
아울러 스팸 메일로 차단되지 않도록 하루 발송량을 제한하고, 메일을 보내는 간격을 무작위로 바꾸는 설정도 확인됐습니다.
별도의 추적 화면에는 표적이 악성 명령어를 복사했는지, 프로그램 설치와 실행이 성공했는지, 비밀번호가 확보됐는지 등을 단계별로 표시하게 돼 있었습니다.
또한 표적을 중요도에 따라 분류하고, 사이트 방문자 가운데 프로그램 설치까지 이어진 비율을 비교하는 기능도 있었습니다.
스톰실드는 이를 마케팅 관리 도구와 비슷한 구조로 설명했습니다.
광고에 반응한 고객을 추적하듯, 공격자들이 가짜 제안에 반응한 사람을 따라가며 공격의 성공 여부를 관리한다는 것입니다.
“로봇이 아님을 증명하라”며 악성 프로그램 실행 유도
보고서가 설명한 채용 사기는 높은 연봉의 원격 개발자 일자리를 제안하는 이메일에서 시작됩니다.
채용 담당자를 사칭한 발신자는 회사 소개와 채용 공고, 지원 양식까지 갖춘 가짜 사이트로 구직자를 유인했습니다.
사이트는 지원자가 로봇이 아닌지 확인해야 한다며, 컴퓨터에 글자로 명령을 입력하는 창을 열고 안내한 내용을 복사해 실행하도록 요구했습니다.
처음 제시한 명령어는 악성 프로그램을 내려받거나 실행하지 않았습니다.
하지만 사이트는 일부러 ‘시간 초과’라는 가짜 오류를 표시하고 다시 시도하도록 했습니다.
이때부터는 화면에 보이는 것과 다른 악성 명령어가 복사되도록 바뀌었습니다.
복사 버튼을 누르거나 글자를 직접 선택해 복사해도 같은 방식으로 내용이 바뀌었다고 스톰실드는 설명했습니다.
사용자는 앞서 했던 확인 절차를 반복한다고 생각하지만, 실제로는 공격자가 준비한 프로그램을 내려받아 실행하게 되는 것입니다.
스톰실드는 이렇게 설치되는 악성 프로그램이 브라우저에 저장된 로그인 정보와 가상화폐 지갑, 민감한 파일 등을 수집해 외부로 전송하도록 설계됐다고 밝혔습니다.
공격자들은 채용 제안뿐 아니라 행사 초청이나 배송 조회를 가장한 사이트도 같은 공격 기반시설과 연결해 운영한 것으로 분석됐습니다.
북한 연계 근거는 관리자 이메일과 서버 연결
스톰실드는 다른 보안업체들이 공개한 분석 자료와 이번 조사 결과를 대조해, 북한과의 연관성을 높은 신뢰도로 평가했다고 밝혔습니다.
특히 관리 화면에서 최고 관리자 권한을 부여하도록 설정된 이메일 주소가, 한국 보안업체 지니언스(Genians)가 앞서 북한 해킹 조직 ‘김수키(Kimsuky)’의 활동을 분석하며 공개한 주소와 일치했다고 설명했습니다.
또 이번 관리 시스템에 사용된 도메인과 서버 주소 일부가 미국 보안업체 프루프포인트(Proofpoint)가 북한 연계 의심 활동으로 추적해 온 ‘UNK_DeadDrop(유엔케이 데드드롭)’의 기반시설과 겹쳤다고 밝혔습니다.
스톰실드는 이런 기반시설과 관리자 계정, 공격 도구와 수법의 연결 관계를 종합해 이번 공격을 기존 북한 연계 활동의 연장선으로 판단하고, 김수키와의 연관성도 제시했습니다.
스톰실드는 이번 관리 체계가 개별적인 접근을 넘어, 여러 사칭 사이트와 표적을 한꺼번에 운영하도록 조직화된 공격을 보여준다고 평가했습니다.
VOA 뉴스 조상진입니다.
Forum