한미연합훈련 노린 北 해킹 조직, 국내 ‘방위산업체’ 사이버 공격 中

이스트시큐리티, 국내 보안 제품의 실제 발주서나 DRM 문서로 위장, 대담한 사이버 공격 진행 경고
방위산업체 납품실적 및 개발 과제 요구사항, 개발자 SW보안 점검 문서 등으로 현혹
다양한 유형(EXE, JSE, PIF, VBS)의 악성파일을 동시다발적으로 사용 중

[보안뉴스 원병철 기자] ‘을지 자유의 방패(UFS)’ 훈련이 한미연합훈련으로 치러진 가운데, 한국의 방위산업체를 대상으로 한 사이버 위협 징후가 다수 포착되는 등 위험 수위가 연일 증대되고 있어 관련 기업들의 각별한 주의가 당부된다.

▲해킹 공격에 도용된 발주서 파일 화면[자료=이스트시큐리티]

통합 보안 기업 이스트시큐리티에 따르면, 이번 공격 징후는 한미 연합훈련이 시작된 지난 22일 처음 탐지됐다. 당시에는 마치 컴퓨터의 아이피 및 맥주소 조회 프로그램처럼 가장한 형태로 발견됐다. 해당 파일이 동작되면 외형상으로 컴퓨터의 실제 네트워크 정보를 출력해 주지만, 이용자 몰래 백그라운드로 은밀히 백도어(Backdoor) 기능의 악성 DLL 모듈을 심어 내부 정보 수집 및 외부 탈취를 시도한다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)는 해당 공격을 처음 포착한 이후 유사한 변칙 공격이 계속 증가하고 있다는 사실을 인지했고, 분석 결과 모두 동일한 미국 소재 아이피(216.189.154.6) 주소와 악성 명령을 주고받는 것으로 확인했다.

공격자는 앞선 사례처럼 실행파일(EXE) 확장자를 가진 네트워크 프로그램처럼 위장한 경우, 공격 효과가 미비했다고 판단했는지 이어서 PDF나 XLSM 문서처럼 보이게 확장자를 2중으로 추가한 스크립트(JSE, VBS) 공격 수법도 재개했다. 거기에 추가로 흔히 바로가기(LNK) 아이콘처럼 보이는 실행파일(PIF) 확장자 수법도 동원했던 것으로 드러났다.

이번에 탐지된 위협들은 거의 동일한 악성 패턴을 보유하고 있으며, 국내 방위산업체와 관련된 내부 업무 문건이나 표현이 공격 미끼로 활용된 점이 주목된다. 특히, 악성 파일 실행 직후 보이는 정상파일 중 일부가 국내 문서보안 솔루션(DRM)으로 암호화가 적용된 상태로 발견돼, 일각에선 이미 탈취한 내부 자료가 후속 공격에 재활용된 것은 아닌지 관계 당국의 면밀한 조사가 필요하다는 지적도 나오고 있다.

ESRC는 이번 공격을 조사한 결과, 수년 전부터 국방 분야 및 방위산업체, 코로나바이러스 연구 제약사와 비트코인 거래소를 상대로 끈질긴 공격을 수행했던 이른바 ‘블루 에스티메이트(Blue Estimate)’ 지능형지속위협(APT) 캠페인의 연장선이라 밝히며, 이 공격의 배후에 북한 정찰총국이 연계된 것으로 널리 알려져 있다고 설명했다.

한편, 악성파일을 이용한 공격 외에도 방위산업체 내부망 로그인 서비스처럼 조작한 피싱 주소도 발견됐는데, 공격자는 실제 웹사이트와 디자인을 비슷하게 모방해 제작했다. 하지만 자세히 살펴보면 정상 사이트와 다른 점이 분명히 존재하며, 특히 공식 URL 주소를 유심히 살펴보면 진위여부 파악에 도움이 될 수 있다.

이스트시큐리티 ESRC 관계자는 “한미 연합 군사훈련이 진행되는 가운데 국내 방위산업체를 겨냥한 북한의 사이버 위협 수위가 갈수록 대담해지고 있다”며, “국방 분야에 종사하는 민간전문가들은 언제든지 북한의 사이버 위협 대상에 노출될 수 있다는 점을 인식하고 항시 철저한 사이버 안보 태세를 유지할 필요가 있다”고 주의를 당부했다.

이스트시큐리티는 새롭게 발견된 악성 파일의 탐지 기능을 자사 알약(ALYac) 제품에 긴급 업데이트했으며, 피해 확산 방지를 위한 대응 조치를 한국인터넷진흥원(KISA) 등 관련 부처와 긴밀하게 협력하고 있다.
[원병철 기자(boanone@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)