이스트시큐리티 ESRC(시큐리티대응센터)가 새롭게 발견한 이번 APT(지능형지속위협) 공격은 '탈륨(Thallium)' 등으로 알려진 북한 연계 사이버 공격 조직의 소행으로 추정된다. 발신지를 통일부 이메일처럼 보이도록 정교하고 교묘하게 조작한 수법이 특징이다.
공격에 사용된 악성 이메일 발신지에는 통일부 주소가 포함됐다. 이에 통일부에서 보낸 정상적인 이메일로 착각하고 열어볼 가능성이 매우 높다는 설명이다. 공격자는 이메일 발신지 주소를 조작하고자 별도의 이메일 서버를 구축한 것으로 분석된다.
이메일 내용을 살펴보면 본문에는 통일부에서 발행한 것처럼 표현된 문서 첫 장의 이미지가 삽입돼 있다. 하단에는 통일연구원(KINU) 문서가 첨부된 듯이 URL 링크가 삽입돼 클릭을 유도한다.
얼핏 보기에는 통일연구원의 '조선노동당 제8차 대회' 분석 자료가 포함된 것처럼 보이지만 실제로는 PDF 첨부 파일이 아닌 악성 링크가 활용됐다.
링크를 누르면 문서가 보이는 대신 이메일 수신자의 암호 입력을 요구하는 화면이 나타난다. 암호를 입력할 경우 해당 정보가 공격자에게 유출돼 이메일 내용이 노출되는 것은 물론 계정을 무단 도용해 주변 지인에게 후속 공격 메일을 발송하는 등의 문제가 발생할 수도 있다는 설명이다.
암호가 탈취된 직후 최대한 해킹 피해 사실을 인지하지 못하도록 통일연구원에서 공식 배포한 문서를 보여주는 치밀함도 엿보인다.
다만 통일연구원 공식 웹사이트에 등록된 실제 '현안분석-온라인 시리즈'의 제목은 '조선노동당 제8차 대회 분석(2): 경제 및 사회문화 분야'인 반면 해킹 이메일 화면에는 '조선로동당'으로 표기돼 있다.
문종현 이스트시큐리티 ESRC센터장 이사는 "정부 주요 기관으로 사칭한 교묘하고 노골적인 사이버 위협이 국지적으로 활발하게 진행되고 있다"며 "기업·기관의 재택근무 추세와 맞물려 사이버 위협 수위가 개인별로 높아졌기 때문에 보안 사각지대가 없도록 면밀하고 빈틈없는 보안 강화 노력을 해야 할 때"라고 말했다.윤선영기자 sunnyday72@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
