해킹 공격에 쓰인 화면./연합뉴스
일본 국제문제연구소 보고서로 사칭한 공격 화면의 모습 /연합뉴스이스트시큐리티는 의료기관증명서 발급 화면 등으로 위장한 북한 연계 해킹이 국내에도 등장해 주의를 촉구했다.
4일 이스트시큐리티 시큐리티대응센터(ESRC) 분석에 따르면 악성파일은 지난달 25일 만들어졌으며 실제 공격은 이달에 이뤄졌다. 해킹 수법은 실제 국내 병원 증명서 발급에 필요한 정상 플러그인 프로그램을 결합해 이용자를 속이는 방식이었다.
파일 내부에는 암호화한 형태로 2개 리소스가 존재하는데 하나는 정상적인 병원 증명서 발급 프로그램이고, 다른 하나는 악성 기능을 수행하는 파일이다. 컴퓨터 화면에는 정상 설치 화면만 보이게 된다. 해당 프로그램이 설치되면 화면상으로는 병원 증명서 발급이 정상 진행되지만, 동시에 사이버 보안 위협에도 노출되는 것이다.
ESRC가 이번 악성파일이 이전 북한 공격 양상과의 유사성을 조사한 결과 이번 공격은 지난달 발생한 공격의 연장인 것으로 확인됐다. 국내 일부 언론사에 '사내 금융업무 상세내역.zip' 파일로 보내진 지능형지속위협(APT) 공격과 일본 국제문제연구소 보고서로 사칭한 공격 사건과 유사한 형태로 이뤄진 것이다.
연구소에 따르면 당시 국내 언론사 대상 공격에서 발견된 위협 지표 중에는 북한 표기식 단어인 '현시'와 공격자가 사용한 '프리헌터'(Freehunter) 계정, 명령 제어(C2) 서버인 'ms-work[.]com-info[.]store' 등 고유한 흔적이 발견됐다. 이번 공격에 사용된 C2 서버는 'ms-work[.]com-pass[.]online' 도메인으로 앞서 언급한 특정 방송사 대상 공격 주소와 유사하고, 주요 함수 구조 역시 일치한 것으로 분석됐다고 연구소는 전했다.
문종현 이스트시큐리티 센터장은 "특히 다가오는 대통령 선거와 관련해 사회공학적 해킹공격이 등장할 수 있어 각별한 주의와 대비가 필요하다"고 강조했다. 이스트시큐리티는 이 공격과 관련한 악성파일 정보를 알약 백신 프로그램에 반영했다.
