북한 연계 해커들이 가짜 채용 담당자로 위장해 암호화폐 개발자의 로그인 정보와 디지털 자산을 훔치면서, 공격 명령을 전달하는 데 3개의 블록체인을 이용한 것으로 나타났습니다. 한 경로가 막혀도 다른 경로로 공격을 이어갈 수 있어 기존 방식으로는 작전을 차단하기 더욱 어려워졌다는 분석입니다. 조상진 기자가 보도합니다.
북한 연계 해킹 조직이 암호화폐를 훔치기 위한 사이버 공격 경로를 여러 블록체인에 나눠 놓은 것으로 나타났습니다.
미국의 블록체인 분석업체 ‘체이널리시스’는 지난 17일 발표한 보고서에서 북한 연계 조직 ‘UNC5342’가 트론과 앱토스, BNB 스마트 체인 등 3개의 블록체인을 이용해 공격했다고 밝혔습니다. UNC5342는 구글 위협정보그룹이 추적해 온 북한 연계 해킹 조직입니다.
이 조직은 가짜 채용 담당자로 위장해 구직 중인 암호화폐 개발자들에게 접근해 왔습니다. 면접이나 코딩 과제인 것처럼 속여 악성 파일을 내려받게 한 뒤 로그인 정보와 암호화폐를 훔치는 방식입니다. 이번에 확인된 새로운 점은 악성코드에 필요한 지시를 전달하는 경로를 3개의 블록체인에 나눠 놓았다는 것입니다.
악성코드는 먼저 트론에서 공격 경로를 찾고, 이 경로가 작동하지 않으면 앱토스를 대체 경로로 이용합니다. 두 경로는 모두 BNB 스마트 체인에 저장된 공격 지시로 연결됩니다.
이곳에는 감염된 컴퓨터가 어느 해커 서버에 접속해야 하는지와 어떤 작업을 수행해야 하는지 등의 정보가 암호화돼 저장돼 있습니다. 한쪽 길이 막혀도 다른 길을 이용해 같은 공격 명령에 도달할 수 있도록 우회로를 만들어 놓은 것입니다.
체이널리시스는 이 때문에 공격을 무력화하려면 3개의 블록체인에 걸쳐 동시에 조치를 취해야 한다고 지적했습니다.
해커들은 새로운 블록체인 거래를 올리는 것만으로 접속할 서버를 바꿀 수도 있으며 이미 감염된 컴퓨터는 변경된 정보를 자동으로 받아 새로운 해커 서버에 다시 접속하게 됩니다.
블록체인은 거래 정보를 여러 곳에 나눠 저장하는 공개 전자장부로, 한번 기록된 내용을 삭제하거나 압수하기가 매우 어렵습니다.
북한 해커들이 이 특성을 악용해 중앙 서버가 폐쇄되더라도 공격을 계속할 수 있는 기반을 만든 것입니다.
체이널리시스는 이런 수법을 ‘블록체인 데드 드롭’이라고 부릅니다. 과거 첩보원이 약속된 장소에 정보를 숨겨 놓고 다른 사람이 찾아가도록 했던 것처럼, 해커가 블록체인에 공격 지시를 남겨 감염된 컴퓨터가 나중에 가져가게 한다는 의미입니다.
체이널리시스는 블록체인 거래 분석을 통해 이번 공격에 사용된 계정이 구글 위협정보그룹이 앞서 UNC5342와 연결한 계정과 동일하다는 사실을 확인했다고 밝혔습니다.
아울러 이번 공격에는 피해자의 로그인 정보와 암호화폐를 훔치는 악성코드가 사용됐습니다.
체이널리시스는 이런 활동이 디지털 자산을 탈취해 북한 정권의 자금을 조달하려는 장기간의 사이버 작전과 일치한다고 평가했습니다.
블록체인을 악성코드 공격에 이용하는 활동은 빠르게 증가하고 있는데, 체이널리시스가 확인한 관련 활동은 최근 12개월 동안 420% 증가했습니다.
또 악성코드 제작에 제한을 두지 않는 중국산 개방형 인공지능 모델이 등장한 이후 블록체인에 기록된 악성 정보도 440% 늘어난 것으로 분석됐습니다.
다만 이 수치에는 북한뿐 아니라 이란 연계 조직과 러시아어권 사이버 범죄자 등 모든 행위자의 활동이 포함돼 있습니다.
보고서는 블록체인 접속을 전면 차단하면 정상적인 암호화폐 지갑과 금융서비스까지 사용할 수 없게 돼 현실적인 대응책이 아니라고 지적했습니다.
또 공격자가 자체 블록체인 접속 장치를 운영하면 차단을 우회할 수도 있다고 설명했습니다.
다만 블록체인에 남은 기록은 삭제되지 않기 때문에 수사기관과 보안업체가 거래 흔적과 해커 계정을 추적하는 데 활용할 수 있습니다.
이번 사례는 최신 블록체인 기술이 사용됐지만 공격의 출발점은 여전히 가짜 채용 제안으로 사람을 속여 악성 파일을 내려받게 하는 방식이었다고 체이널리시스는 지적했습니다.
VOA 뉴스