지난 22일 시작돼 다음달 1일까지로 예정된 한미 연합 훈련 ‘을지 자유의 방패’(을지훈련) 기간 중 북한의 해킹 조직이 사이버 공격을 벌이고 있다는 분석이 나왔다.

정보보안업체 이스트시큐리티 시큐리티대응센터(ESRC)는 25일 사내 블로그에 게재한 ‘北 해킹 조직, 한미연합훈련 기간 중 방위산업체 대상 공격’ 제하의 공지문을 통해 최근 북한이 국내 방위산업체를 대상으로 개시한 사이버 공격이 탐지됐다고 밝혔다.

ESRC에 따르면 이번 공격은 을지훈련이 시작된 22일 처음 탐지됐다.

ESRC는 북한의 공격 흔적이 컴퓨터의 아이피 및 맥주소 조회 프로그램으로 위장한 실행파일(EXE) 형태로 발견됐다고 밝혔다.

북한은 이 파일을 통해 컴퓨터 사용자의 육안상으로는 네트워크 정보가 출력되는 것처럼 위장하고, 실제로는 악성 dll 모듈을 심어 내부 정보를 수집해 탈취를 시도했다는 것이 ESRC의 설명이다.

아울러 북한 조직은 PDF나 XLSM 문서처럼 보이게 하는 2중 확장자를 추가한 스크립트(JSE, VBS) 공격 형태로 방식을 전환하는 한편 바로가기(LNK) 아이콘처럼 보여지는 실행파일(PIF) 확장자를 사용한 공격 수법도 사용했다. 

ESRC는 이번에 탐지된 위협들이 거의 동일한 악성 패턴을 보이고 있으나, 미국 소재의 동일 아이피(216.189.154[.]6) 주소와 악성 명령을 주고받는 점을 미루어볼 때 동일 조직이 공격 방식의 다변화를 통해 효과적인 공격을 가하고 있는 것으로 보인다고 분석했다.

이번 공격에서 주목할 부분은 방위산업체 관계자의 열람을 유도하는 발주서 등의 내부 문건 및 문서상 표현도 공격에 사용됐다는 점이다.

ESRC는 육안상 정상인 파일 중 일부가 문서보안솔루션(DRM)에 의해 암호화된 형태로 발견된 만큼 이미 탈취된 내부 자료가 후속 공격에 재활용된 것이 아닌지 의심되고 있다고 밝혔다.

DRM은 디지털콘텐츠의 저작권을 보호하는 기술로 CD를 비롯해 전자책, 중요 문서 등의 무단 복제를 방지하는 용도로 사용된다.

아울러 이번 공격에는 방위산업체 내부망의 로그인 서비스 화면으로 위장한 피싱 페이지 역시 이용됐다. 이 피싱 페이지는 주의 깊게 보지 않으면 실제 로그인 페이지로 오인하도록 정교하게 제작됐다. 

ESRC는 공격자가 피싱 페이지로 이용자 계정 탈취를 시도한 흔적 역시 확인했다고 밝혔다.

ESRC는 여러 지표들의 분석을 통해 이번 공격은 북한 정찰총국을 배후로 둔 김수키(Kimsuky) 혹은 탈륨(Thallium)으로 알려진 조직이 2019년부터 진행중인 블루 에스티메이트(Blue Estimate) 캠페인의 연장선에서 이뤄진 것이라고 분석했다. 

끝으로 ESRC는 이번 을지훈련이 9월1일까지 예정돼있는 만큼 국방·방산·우주항공 등 분야의 관련 종사자들이 사이버 보안에 각별한 주의를 기울여야 한다고 당부했다.