북한의 해외 IT 노동자와 북한 연계 공격조직이 일부 사례에서 같은 인터넷 기반시설을 사용한 정황이 포착됐다고 유럽 사이버보안업체들이 밝혔습니다. 위장 취업을 통한 외화벌이와 기업 내부망을 노린 사이버 작전이 서로 연결될 수 있음을 보여주는 것인데, 북한 IT 노동자가 서방 기업에 더 큰 내부자 위협이 될 수 있다는 분석입니다. 조상진 기자가 보도합니다.
해외 기업에 위장 취업한 북한 IT 노동자들이 임금을 벌어들이는 데 그치지 않고, 업무 과정에서 확보한 내부 접근 권한을 정보 수집과 사이버 작전에 악용할 수 있다는 분석이 나왔습니다.
스위스 사이버보안업체 ‘쿠델스키 시큐리티’와 프랑스 사이버보안업체 ‘세코이아’는 7일 공동 발표한 보고서에서 북한의 공격조직과 해외 IT 노동자 운영 체계를 분석했습니다.
연구진은 공개 자료와 정보 탈취형 악성코드가 수집한 기록 등을 교차 분석한 결과, 일부 IT 노동자와 북한 연계 공격조직이 같은 가상사설망(VPN) 출구 주소를 이용한 정황을 확인했다고 밝혔습니다.
VPN 출구 주소는 이용자의 인터넷 통신이 중계망을 거친 뒤 외부에 최종적으로 표시되는 주소로, 실제 접속 위치를 숨기는 데 이용될 수 있습니다.
연구진은 같은 접속 경로의 사용이 북한의 외화벌이용 IT 노동자와 전문 해킹 공격조직 사이의 구분이 갈수록 불분명해지고 있음을 보여주는 정황이라고 평가했습니다.
보고서는 북한 IT 노동자들의 기본 임무는 해외 기업에서 임금을 받아 북한으로 송금하는 것이지만, 기업 직원이나 외부 계약자로 채용되면 내부 문서와 전산망에 접근할 수 있어 정보 수집이나 금전 탈취 등 추가 작전을 수행할 기회도 얻게 된다고 지적했습니다.
연구진이 확인한 사례에서는 북한 연계 IT 노동자들이 직원으로 근무하면서 기업 내부 문서를 검색하고, 외부 컨설턴트로 투입된 고객사에서도 같은 행동을 한 정황이 나타났습니다.
이에 따라 북한 IT 노동자를 채용한 기업뿐 아니라 업무와 정보를 공유하는 고객사까지 위험에 노출될 수 있다고 보고서는 경고했습니다.
연구진은 또 과거 ‘라자루스’라는 이름으로 넓게 분류됐던 북한 연계 사이버 활동을 6개 세부 활동군으로 나눴습니다.
이에 따라 공격 대상과 사용한 악성코드, 기반시설과 침투 수법 등을 기준으로 관련 활동을 ‘템프 허밋’과 ‘시트린 슬릿’, ‘크립토코어’, ‘제이드 슬릿’, ‘문스톤 슬릿’, ‘페이머스 천리마’ 등 6개 활동군으로 다시 분류했습니다.
이는 북한 내부에 이런 이름의 공식 부대 6개가 존재한다는 의미가 아니라, 보안업체들이 서로 다른 공격의 배후와 목적을 추적하기 위해 붙인 분류입니다.
보고서는 이들 활동군이 첩보 수집과 금전 탈취, 파괴 활동과 가짜 IT 노동자 지원 등 서로 다른 임무를 수행하면서도 대부분 수익을 올리는 작전에 관여한다고 분석했습니다.
이 가운데 ‘크립토코어’와 ‘제이드 슬릿’은 가상자산 업계 등을 겨냥한 금전 탈취에 집중하며, ‘페이머스 천리마’는 가짜 IT 노동자와 관련된 악성 활동을 대표하는 활동군으로 분류됐습니다.
보고서는 북한 IT 노동자들이 슬랙과 아이피 메신저, 별도로 지정된 컴퓨터와 ‘룡봉’이 운영하는 것으로 분석된 ‘RB’ 표시 프록시를 통해 서로 연락한다고 밝혔습니다.
아울러 내부 연락에 사용된 언어도 지난 2022년 10월 무렵부터 격식을 갖춘 한국어에서 영어로 바뀐 정황이 포착됐습니다.
연구진은 해외 근무 환경에 맞추고 온라인에서 북한인으로 특정될 수 있는 특징을 줄이도록 관련 지시가 내려졌을 가능성이 있다고 평가했습니다.
보고서는 또 북한의 IT 노동자들은 본인과 가족의 정치·사회적 배경에 대한 심사를 거쳐 선발되며, 이후 임무와 통신 방법, 허위 신분으로 사용할 플랫폼 등에 관한 사전 교육을 받는 것으로 분석했습니다.
아울러 북한이 제한된 국내 인터넷 환경을 보완하고 활동 출처를 감추기 위해 중국과 러시아, 동남아시아와 아프리카의 중계망과 위장회사를 활용한다고 밝혔습니다.
보고서는 또 러시아와의 교육 교류 확대도 북한이 해외 활동 기반을 넓히는 데 이용될 가능성이 있다고 분석했습니다.
그러면서 북한의 사이버 전략에서 위장 취업을 통한 임금 수입과 금전 탈취, 정보 수집이 분리된 활동이 아니라 IT 노동자의 내부 접근 권한과 공유된 기반시설을 통해 서로 연결될 수 있다고 지적했습니다.
VOA 뉴스