거짓 구직 면접으로 악성 코딩 과제를 보내던 북한 연계 해커들이 유명 맥용 앱으로 위장한 설치 파일까지 공격에 활용하는 정황이 포착됐습니다. 이를 실행하면 악성코드가 숨어 들어가 브라우저와 가상자산 지갑, 즉 가상자산 계좌의 로그인 정보, 민감한 파일 등을 빼낼 수 있습니다. 조상진 기자가 보도합니다.
북한 연계 해커들이 잘 알려진 애플 컴퓨터 운영체제 맥OS(macOS) 앱처럼 꾸민 가짜 설치 파일을 이용해 계정정보와 가상자산 지갑 정보를 노리는 새로운 공격 방식을 시험하고 있는 것으로 파악됐습니다.
애플 산하 미국 사이버보안업체 ‘잼프’의 위협연구소는 지난 3일 공개한 보고서에서 일반적으로 윈도우에 비해 해킹이 어려운 것으로 알려진 맥용 앱을 사칭한 악성 샘플 14개를 발견했다고 밝혔습니다.
보고서에 따르면 이 파일들은 맥에서 앱을 설치할 때 사용되는 디스크 이미지와 설치 패키지 형태로 제작됐으며, 위장 대상에는 파일 압축 해제 프로그램과 PDF 변환 앱, 화면 메뉴 관리 앱 등이 포함됐습니다.
연구진은 이들 설치 파일이 북한 소행으로 지목돼 온 장기 해킹 작전인 ‘컨테이저스 인터뷰’와 연계된 서버에 접속한다고 밝혔습니다.
‘컨테이저스 인터뷰’는 북한 연계 해커들이 채용 담당자로 위장해 구직자에게 악성코드가 담긴 코딩 과제나 프로그램 저장소를 실행하도록 유도하는 공격입니다.
해커들은 주로 소프트웨어 개발자와 가상자산 업계 종사자에게 가짜 채용 제안을 보내 컴퓨터에 악성코드를 설치해 왔습니다.
잼프는 지난 1월에는 개발 도구인 ‘비주얼 스튜디오 코드’의 작업 설정 파일을 악용한 사례를 공개했습니다.
이어 지난 5월에는 같은 공격 조직이 악성코드를 프로그램 개발 과정에 사용되는 ‘깃 훅’ 스크립트에 숨긴 사례가 다른 연구진에 의해 확인됐습니다.
그러나 이번에 발견된 파일들은 코딩 과제나 개발 도구가 아니라 일반적인 맥용 앱의 설치 프로그램처럼 꾸며졌습니다.
연구진은 이를 북한 연계 해커들이 개발 업무의 범위를 벗어난 새로운 악성코드 전달 방식을 시험하고 있음을 보여주는 정황으로 평가했습니다.
분석 결과 이들 파일은 과거 가짜 코딩 과제와 개발 도구 파일을 악용한 공격에 사용된 것과 동일한 중간 서버에 접속했으며, 가짜 앱을 실행하면 겉으로는 정상적인 프로그램이 화면에 나타나지만, 뒤에서는 숨겨진 실행 파일이 공격자의 서버에 접속해 추가 악성코드를 내려받습니다.
이어 컴퓨터 안에 보이지 않는 폴더를 만들고 프로그램 실행에 필요한 파일들을 단계적으로 설치한 뒤 ‘오터쿠키’를 작동시킵니다.
‘오터쿠키’는 공격자가 감염된 컴퓨터에 원격 명령을 내릴 수 있게 하는 악성코드로, 브라우저와 가상자산 지갑의 로그인 정보를 훔치고 컴퓨터 안에서 민감한 파일을 찾아낼 수 있습니다.
잼프는 발견된 샘플들이 기본 설정에서는 실행되지 않는다는 점에서 해커들이 새로운 전달 방식을 시험하고 있거나 아직 초기 개발 단계에 있을 가능성이 있다고 밝혔습니다.
이어 북한 연계 해커들이 코딩 과제와 프로그램 저장소에 이어 정상 앱으로 위장한 설치 파일까지 활용하며 맥용 악성코드의 전달 방식을 계속 바꾸고 있다고 경고했습니다.
그러면서 개발자를 확인할 수 없거나 공증되지 않은 앱에 보안 경고가 표시되면 앱스토어에서 최신 버전이나 대체 앱을 찾고, 출처를 신뢰할 수 있다고 확신하지 않는 한 맥의 보안 설정을 우회하지 말 것을 권고했습니다.
VOA 뉴스
Forum