미국 사이버보안 당국이 실제 공격에 악용되고 있는 윈도우 보안 결함을 발견하고 연방기관들에 긴급 조치를 명령했습니다. 미국의 사이버보안업체는 이 결함이 북한 연계 해킹조직 라자루스의 구직 사기 조사 과정에서 발견됐다고 밝혔습니다. 조상진 기자가 보도합니다.
미국 국토안보부 산하 사이버보안·인프라보안국(CISA)이 12일 마이크로소프트와 함께 윈도우 운영체제의 보안 결함(CVE-2026-68820)이 실제 공격에 악용되고 있다고 확인했습니다.
이 결함은 이번 마이크로소프트의 정기 보안 패치 발표에 포함된 취약점 가운데 회사가 실제 공격에 사용되고 있다고 공식 확인한 유일한 사례입니다.
CISA와 마이크로소프트는 공격 배후는 별도로 특정하지 않았지만, 이 결함이 실제 광범위하게 악용되고 있다고 지적했습니다.
그러면서 모든 연방기관들에 오는 25일까지 이 결함에 대한 보안 패치를 적용할 것을 명령했습니다. 패치 적용 뒤에는 기기 재부팅이 필요하며, 별다른 임시 대응 방법은 없는 것으로 알려졌습니다.
이 결함은 웹브라우저가 인터넷에 연결되도록 돕는 윈도우 구성요소인 '윈속(Winsock)'에 영향을 미치는데, 마치 보안시설에 몰래 들어가 스스로 전 구역 출입증을 발급받는 침입자처럼 활동할 수 있도록 설계된 것으로 알려졌습니다.
이 결함을 실제로 발견해 마이크로소프트에 신고한 곳은 미국의 사이버 보안업체 ‘체크포인트’입니다.
이와 관련해 체크포인트는 북한 해킹조직 라자루스의 IT 구직 사기 작전인 '드림잡(Dream Job)' 관련 최신 공격을 조사하는 과정에서 이 결함을 발견했다고 12일 공개한 보고서에서 밝혔습니다.
체크포인트는 라자루스 해커들이 미 방산업체 ‘록히드마틴’과 개인정보보호 기술업체 ‘인베일(Enveil)’의 채용담당자로 위장해 링크드인 등에서 구직자들에게 접근한 뒤 악성 PDF 파일을 보내는 수법을 사용했다고 설명했습니다.
또 구직자가 이 파일을 열면 백도어가 설치돼 해커들이 장기간 원격으로 시스템에 접근할 수 있게 되며, 이 악성코드가 감염된 기기의 정보를 먼저 수집한 뒤 이번에 확인된 결함을 이용한 공격을 실행하는 방식으로 작동했다고 밝혔습니다.
체크포인트는 이번 공격을 북한 해킹조직 라자루스 소행으로 분석한 근거로, 과거 '드림잡' 작전에서 반복적으로 사용된 사회공학적 수법과 감염 체인, 피해자군, 인프라 패턴이 이번 공격에서도 일관되게 나타났다는 점을 들었습니다.
아울러 이번에 악용된 것과 같은 시스템 구성요소가 지난 2024년에도 라자루스에 의해 악용된 전례가 있다고 지적했습니다.
체크포인트는 북한의 이번 공격이 위험한 이유가 단순히 새로 발견된 취약점 때문만은 아니라, 공격 조직이 매 단계에 신뢰할 수 있는 정상적인 인프라를 교묘하게 끼워 넣었기 때문이라고 지적했습니다.
특히 상위권에 노출되는 검색 결과와 실제 기업의 브랜드, 이미 침해한 조직의 신뢰도 뒤에 숨어 활동해왔다며, 웹사이트와 다운로드 링크, 채용담당자까지 모두 진짜처럼 보일 경우 기존의 '피싱 링크가 진짜인지 가짜인지 확인하라'는 조언은 더 이상 통하지 않는다고 지적했습니다.
그러면서 이번 공격의 표적이 프랑스와 독일, 브라질, 인도의 감시센서와 드론, 로봇 등 여러 방위산업 분야에 걸쳐 있었다고 우려를 나타냈습니다.
'드림잡' 작전은 지난 2020년부터 여러 보안업체가 추적해온 북한 연계 장기 구직 사기 캠페인으로, 구글은 지난 2022년 디즈니와 구글, 오라클 등을 사칭한 가짜 채용담당자로부터 악성 이메일을 받은 언론사와 도메인 등록업체, 웹호스팅업체, 소프트웨어업체 관계자 250명이 이 캠페인의 표적이 됐다고 경고한 바 있습니다.
VOA 뉴스