이용자의 금융거래를 보호하기 위한 한국의 보안 프로그램이 북한 해킹 조직의 기업 침투 과정에 악용됐다고 국제 사이버 보안업체 ‘카스퍼스키’가 밝혔습니다.
카스퍼스키는 21일 공개한 보고서에서 북한 해킹 조직 라자루스의 새로운 공격 활동을 ‘플래시홀’로 명명하고, 한국의 소프트웨어와 건설, 유선 통신장비 제조 분야에서 최소 3개 기업이 이 공격의 영향을 받은 것으로 확인했다고 설명했습니다.
북한의 이번 공격에 이용된 프로그램은 ‘이니세이프 크로스웹 EX’입니다.
이 프로그램은 한국에서 널리 이용되는 인터넷뱅킹과 정부 웹사이트에 접속할 때 설치가 요구되는 금융 보안 프로그램으로, 이용자의 브라우저와 웹서버 사이의 통신을 암호화하는 역할을 합니다.
보고서에 따르면 북한 공격자들은 기업 직원들이 업무상 관심을 가질 만한 가짜 웹사이트를 만들어 접근한 것으로 분석됐습니다.
통신장비 분야의 표적에는 경력 개발자의 이력서처럼 꾸민 사이트를, 건설 분야의 표적에는 실내 디자인 작품을 소개하는 사이트를 활용한 것으로 보인다는 설명입니다.
카스퍼스키는 북한이 특정 직원을 겨냥한 이메일에 이런 사이트의 링크를 담아 보냈을 가능성이 높다고 평가하면서, 불특정 다수에게 같은 메시지를 보내는 대신 표적의 업무와 관심사에 맞춰 접속을 유도했다고 지적했습니다.
아울러 이력서 사이트에 사용된 인물 사진과 일부 내용도 인공지능으로 생성됐을 가능성이 있다고 분석했습니다.
카스퍼스키는 피해자들이 가짜 사이트에 접속한 뒤 크로스웹 EX가 관여하는 감염 과정이 시작됐을 가능성이 높다고 밝혔습니다.
한편 북한 공격자들은 침투 이후에도 탐지를 피하기 위해 여러 단계의 악성코드를 사용한 것으로 분석됐습니다.
초기 침투 단계에서는 악성코드가 주로 컴퓨터 메모리에서 작동하도록 해 저장장치에 남는 흔적을 줄였다는 설명입니다.
또한 분석된 악성코드에는 컴퓨터와 실행 중인 프로그램의 정보를 수집하고, 파일을 검색하거나 압축하며, 추가 명령을 실행하는 기능 등이 포함됐습니다.
아울러 브라우저에 저장된 비밀번호와 쿠키를 빼낼 수 있는 도구도 확인했다고 밝혔습니다.
쿠키는 웹사이트가 이용자의 로그인 상태 등을 기억하는 데 사용하는 정보로, 탈취되면 계정 접근에 악용될 수 있습니다.
카스퍼스키는 이번 플래시홀 공격이 첩보 수집에 초점을 맞추고 있다고 평가했습니다.
특히 소프트웨어 분야는 지난해 공개한 ‘싱크홀’ 공격과 이번 공격에서 모두 표적이 됐다며, 소스코드를 훔치고 취약점을 찾아 후속 공격에 이용하려는 의도를 보여준다고 분석했습니다.
보고서는 이번 공격을 북한 라자루스 소행으로 지목한 주요 근거로 과거 공격에서 사용된 악성코드와의 기술적 연관성을 제시했습니다.
이번에 발견한 ‘테크허브’와 ‘큐브리지’, ‘터치시프트’의 이전 버전이 라자루스의 ‘드림잡’ 공격에서도 관찰됐다는 것입니다.
특히 이들 도구는 2022년과 2023년 드림잡 공격에서 사용됐다고 설명했습니다.
또 지난해 공개한 ‘싱크홀’ 공격과 이번 플래시홀 공격에서 모두 ‘LPE클라이언트’라는 악성코드가 사용됐다며, 이를 두 공격을 연결하는 강력한 근거로 제시했습니다.
라자루스는 미국 정부가 북한 정찰총국과 연계된 해킹 조직으로 지목해 온 단체입니다.
미국 재무부는 지난 2019년 9월 라자루스와 블루노로프, 안다리엘을 북한 정찰총국과의 관계를 근거로 제재 대상으로 지정했습니다.
한국 당국과 보안업계도 앞서 유사한 공격 수법에 주의를 당부한 바 있습니다.
한국인터넷진흥원과 국가정보원, 경찰청, 금융보안원, 민간 보안업체들은 지난 7월 30일 합동 사이버보안 권고문을 공개했습니다.
권고문은 국가 배후 해킹 조직들이 이력서나 채용 제안으로 위장한 이메일을 보내 악성코드 감염을 유도하거나, 해킹한 웹사이트와 보안 소프트웨어의 취약점을 결합해 공격하는 사례가 지속적으로 확인되고 있다고 밝힌 바 있습니다.
카스퍼스키는 필수 설치 보안 프로그램이 완전히 제거되거나 관련 위험이 완화되기 전까지 이를 악용하는 공격이 당분간 활발하게 이어질 것으로 전망했습니다.
VOA 뉴스 조상진입니다.