북한 연계 사이버 해킹 조직이 위장 채용 면접을 미끼로 악성코드를 유포하는 새로운 사이버 공격을 펼치고 있는 것으로 파악됐습니다. 이번에는 가상자산과 웹3분야 종사자들을 대상으로 한 공격이었는데, 전문가들은 구직자의 심리를 악용한 수법에 각별한 주의를 당부했습니다. 김영교 기자가 보도합니다.
북한 연계 사이버 해킹 조직이 가상자산과 웹3 분야 종사자들을 겨냥해 위장 취업 면접을 미끼로 악성코드를 유포하는 새로운 사이버 공격을 펼치고 있는 것으로 밝혀졌습니다.
최근 사이버 보안 전문 업체 SOC레이더(SOCRadar)의 위협 연구팀 분석에 따르면, 페이머스 천리마 또는 웨이지몰로 알려진 북한 해킹 조직은 최근 클릭페이크 인터뷰라는 형태의 새로운 해킹 캠페인을 진행하고 있습니다.
이들은 과거에도 구직자를 가장하거나 채용 면접을 빌미로 사이버 공격을 벌여왔었는데, 이번에는 기존 방식에서 더 나아가 사용자가 스스로 악성 명령어를 입력하게 만드는 클릭픽스 기법을 정교하게 결합했습니다.
차세대 탈중앙화 인터넷 생태계를 뜻하는 웹3 와 가상자산 업계는 탈중앙화 금융(DeFi) 거래와 디지털 자산 취급이 활발해 북한 해킹 조직의 주요 표적이 되고 있습니다.
공격자들은 링크드인이나 텔레그램, 디스코드 등 전문 직업 네트워크와 소셜미디어를 통해 접근한 뒤 유명 가상자산 기업을 도용하거나 가짜 위장 회사를 내세워 고액 연봉의 일자리를 제안합니다.
이후 면접 과정의 일부라며 자체 제작한 온라인 역량 평가 웹사이트로 지원자를 유인하는데, 이 평가 웹사이트는 수험자의 신원이나 인터넷 접속 주소를 엄격히 검증해 사전에 지정된 공격 대상이 아닌 일반 방문자나 보안 전문가의 접근은 자동으로 차단하도록 설계되어 있습니다.
평가 화면에는 제한 시간 타이머와 화면 이탈 방지 경고 문구를 배치해 지원자가 의심할 겨를 없이 서둘러 문제를 풀도록 심리적 압박을 가합니다.
공격의 핵심은 역량 평가의 마지막 단계인 비디오 답변 녹화 과정에서 사용된 클릭픽스 기법입니다. 클릭픽스란 웹사이트에 가짜 시스템 오류 창을 띄운 뒤 문제 해결을 빙자하면서, 이용자가 직접 컴퓨터 터미널이나 명령 프롬프트에 악성 코드를 복사해 붙여넣도록 유도하는 최신 사회공학적 해킹 수법입니다.
지원자가 영상 녹화를 시도하면 시스템은 카메라 인식 오류가 발생했다는 가짜 경고창을 띄우고, 문제 해결을 위해 제시된 진단 명령어를 복사한 뒤 자신의 컴퓨터 명령 창에 직접 실행하도록 유도합니다.
지원자가 이를 단순한 오류 수정 절차로 착각하고 명령어를 실행하는 순간, 지원자의 컴퓨터에는 파일과 정보를 몰래 탈취하는 정교한 원격 제어 악성코드인 파이랭고스트 또는 고랭고스트가 설치됩니다.
이같은 수법으로 일단 악성코드에 감염되면 공격자는 해당 기기에서 저장된 비밀번호와 브라우저 쿠키는 물론, 텔레그램 대화록과 가상자산 지갑의 암호키까지 실시간으로 빼돌릴 수 있게 됩니다.
이번 조사를 진행한 보안 전문 업체 SOC레이더 위협 연구팀은 웹3 및 가상자산 업계 종사자들에게 지원 과정 중 웹사이트가 요구하는 시스템 명령어 직접 실행 요구에 절대로 응하지 말 것을 당부했습니다.
또한 채용 제안을 받을 경우 해당 기업의 공식 연락처나 별도의 확인 절차를 통해 채용 담당자의 신원을 반드시 사전 검증해야 한다고 강조했습니다.
VOA 뉴스 김영교입니다.
Forum