.jpg)
블록체인 산업이 경계해야 할 건 추락하는 코인들의 가치만이 아니다. 북한 해커들의 소리 소문 없는 활동도 경계 1순위다. 이들은 그리 복잡하지 않은 공격 기법을 통해 천문학적인 돈을 매년 가져간다. 작년에는 특히 더 많았다.
[보안뉴스 문가용 기자] 블록체인 산업은 작년 한 해 큰 돈을 잃었다. 암호화폐의 가치가 크게 떨어지면서 전 세계 암호화폐 시장이 63%나 축소됐기 때문이다. 하지만 시장 축소 만의 문제는 아니었다. 여러 공격 단체들이 꾸준히 암호화폐를 사용자들의 지갑과 거래소에서 훔친 것도 크게 작용했다. 보안 업체 프루프포인트(Proofpoint)가 상세히 발표한 바에 의하면 북한의 해커들은 2022년 한 해 동안 10억 달러 이상을 빼돌렸다고 한다.
프루프포인트가 지적한 북한 해킹 그룹은 TA444이다. 이들이 해킹 행위를 통해 이처럼 큰 돈을 벌 수 있었던 건 몇 가지 특성 때문이라고 프루프포인트는 정리했다. “빠른 움직임, 상황에 따른 유연한 제품 실험, 실패로부터 충실히 배우기 등이 이들의 특징입니다. 이들에게는 실제 공격이 실험이기도 하며, 다양한 시도를 대담하게 실시합니다. 그러면서 최고의 멀웨어와 전략을 찾아냅니다.” 그러면서 TA444가 “스타트업과 비슷한 분위기를 자아내고 있다”고도 설명했다.
변화하는 위협, TA444
프루프포인트는 “TA444가 대단히 빠르게, 그리고 파괴적으로 움직인다”고 묘사한다. “최근 몇 년 동안 TA444는 소셜엔지니어링 전략을 수도 없이 바꿔왔습니다. 어떤 때는 유명 기업에 소속된 임직원들 링크드인 계정을 해킹한 후에 표적들에게 비밀 메시지를 보내기도 했고, 어떤 때는 이메일 마케팅 도구를 악용해 보안 장치들을 우회하기도 했습니다. 영어를 구사할 때도 있었고, 일본어, 폴란드어, 스페인어로 피해자에게 접근하기도 했습니다.”
심지어 한 번은 미국의 의료, 교육, 금융, 정부 기관에 오타와 문법 오류가 가득하고 아무런 형식도 없는 피싱 이메일을 대거 뿌린 적도 있었다. 특정 브랜드를 사칭하기도 하고, 높은 연봉을 주겠으니 회사를 옮기라는 ‘스카웃’ 제안서를 가짜로 보내기도 했다. 기초적인 수법의 피싱 공격을 넓고 광범위하게, 그리고 빠르게 바꿔가면서 실시하는 게 TA444의 특징이었던 것이다. “다른 그룹들은 하나의 피싱 공격을 정교하게 가다듬는 데 많은 자원을 투자하는데, TA444는 가짓수를 늘려 실험하는 데 많은 것을 투자하는 모습이었습니다.”
TA444는 여러 가지 ‘후속 백도어(post-exploitation backdoor)’를 사용하기도 했다. 그 중 대표적이라 할 수 있는 것은 두 가지인데, 엠에스오랫(msoRAT)은 크리덴셜을 훔치는 기능을, 다이팩(DYEPACK)은 국제 은행 간 네트워크인 스위프트(SWIFT)를 악용해 돈을 세탁하는 기능을 가진 멀웨어들이었다. 하지만 그 외에도 다양한 목적으로, 다양한 멀웨어들을 사용하기도 했다. “전략을 자주 바꾸는 것만큼이나 공격 도구도 다채롭게 활용하는 게 TA444였습니다.”
북한의 암호화폐 사랑
북한 정권은 무역 제재로 인해 수년 동안 경제적 위기 상황을 벗어나지 못하고 있다. 이를 타개하고자 노린 것이 암호화폐였다. 그 전에도 세계 여러 지역의 금융 기관들을 해킹해 오면서 비어가는 국고를 채워왔던 것이 북한임을 생각했을 때, 암호화폐를 표적으로 삼는 게 그리 새로운 변화는 아니었다.
게다가 암호화폐 거래소들은 기존의 금융 기관들보다 안전 장치가 부실한 편이었다. 거래는 일방향으로 이뤄지는 게 보통이었고, 거래에 참여하는 자들의 정확한 신원을 알아내는 것도 어려웠다. 이런 특징들이 가져다주는 장점들이 없는 건 아니지만, 사이버 범죄자들의 도구로 활용되기에 안성맞춤일 때가 더 많았다. 실제 각종 사이버 범죄를 활성화하는 것이 암호화폐라는 지적도 심심찮게 나오고 있다. 북한 해커들이 그리 뛰어나지 않은 기법을 가지고도 엄청난 돈을 끌어다 쓸 수 있게 된 것이 암호화폐 생태계의 불안한 점을 증명하기도 한다.
그런 여러 요소들에 힘입어 작년 한 해 북한은 세계적인 암호화폐 도둑으로서 한 차원 높은 곳에 도달하는 데 성공했다. 블록체인 생태계 분석 전문 업체인 체이널리시스(Chainalysis)에 의하면 2021년 북한이 암호화폐 생태계에서 훔쳐낸 자산의 규모는 4억 달러에 달한다고 하는데, 2022년에는 단 한 번의 공격으로 이 기록을 넘어섰다고 한다. 블록체인 게임 기업인 스카이마비스(SkyMavis)로부터 6억 달러로 추정되는 자산을 가져간 것이다. 여기에 다른 공격을 통해 거둔 수익을 합하면 이들이 한 해 동안 거둔 수익은 10억 달러가 가뿐히 넘어간다고 한다.
“TA444는 공격 패턴과 기술력만으로 보기에는 굉장히 우스워 보이는 게 사실입니다. 실제 보안 전문가들은 TA444를 그리 높게 평가하지 않습니다. 하지만 겉으로 보이는 그런 모습에 우리는 속고 있는지도 모릅니다. 실제 그들은 매우 영악하며, 목적한 바를 반드시 이뤄내는 끈질김까지 갖추고 있습니다. 반드시 경계해야 하는 세력입니다.” 프루프포인트의 설명이다.
“MSHTA, VBS, 파워셸 등 스크립트 언어가 실행되는 프로세스들을 면밀히 관찰한다면 TA444의 활동을 어느 정도 잡아낼 수 있습니다. 또한 다중 인증 도입 등 심층 방어를 위한 기본 보안 수칙들을 지키는 것으로도 TA444의 공격을 어렵게 만들 수 있습니다. 직원들의 소셜미디어 활동에 대해서도 주기적인 교육이 있어야 하고요.”
3줄 요약
1. 북한의 해킹 그룹 TA444, 아마추어스러운 공격 능력 갖춰 웃음거리.
2. 하지만 이들이 암호화폐 생태계에서 일으키는 피해는 천문학적.
3. 여러 가지를 실험하고 실패하는 데에 두려움 없는 게 성공 요인.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 블록체인 산업은 작년 한 해 큰 돈을 잃었다. 암호화폐의 가치가 크게 떨어지면서 전 세계 암호화폐 시장이 63%나 축소됐기 때문이다. 하지만 시장 축소 만의 문제는 아니었다. 여러 공격 단체들이 꾸준히 암호화폐를 사용자들의 지갑과 거래소에서 훔친 것도 크게 작용했다. 보안 업체 프루프포인트(Proofpoint)가 상세히 발표한 바에 의하면 북한의 해커들은 2022년 한 해 동안 10억 달러 이상을 빼돌렸다고 한다.
[이미지 = utoimage]
프루프포인트가 지적한 북한 해킹 그룹은 TA444이다. 이들이 해킹 행위를 통해 이처럼 큰 돈을 벌 수 있었던 건 몇 가지 특성 때문이라고 프루프포인트는 정리했다. “빠른 움직임, 상황에 따른 유연한 제품 실험, 실패로부터 충실히 배우기 등이 이들의 특징입니다. 이들에게는 실제 공격이 실험이기도 하며, 다양한 시도를 대담하게 실시합니다. 그러면서 최고의 멀웨어와 전략을 찾아냅니다.” 그러면서 TA444가 “스타트업과 비슷한 분위기를 자아내고 있다”고도 설명했다.
변화하는 위협, TA444
프루프포인트는 “TA444가 대단히 빠르게, 그리고 파괴적으로 움직인다”고 묘사한다. “최근 몇 년 동안 TA444는 소셜엔지니어링 전략을 수도 없이 바꿔왔습니다. 어떤 때는 유명 기업에 소속된 임직원들 링크드인 계정을 해킹한 후에 표적들에게 비밀 메시지를 보내기도 했고, 어떤 때는 이메일 마케팅 도구를 악용해 보안 장치들을 우회하기도 했습니다. 영어를 구사할 때도 있었고, 일본어, 폴란드어, 스페인어로 피해자에게 접근하기도 했습니다.”
심지어 한 번은 미국의 의료, 교육, 금융, 정부 기관에 오타와 문법 오류가 가득하고 아무런 형식도 없는 피싱 이메일을 대거 뿌린 적도 있었다. 특정 브랜드를 사칭하기도 하고, 높은 연봉을 주겠으니 회사를 옮기라는 ‘스카웃’ 제안서를 가짜로 보내기도 했다. 기초적인 수법의 피싱 공격을 넓고 광범위하게, 그리고 빠르게 바꿔가면서 실시하는 게 TA444의 특징이었던 것이다. “다른 그룹들은 하나의 피싱 공격을 정교하게 가다듬는 데 많은 자원을 투자하는데, TA444는 가짓수를 늘려 실험하는 데 많은 것을 투자하는 모습이었습니다.”
TA444는 여러 가지 ‘후속 백도어(post-exploitation backdoor)’를 사용하기도 했다. 그 중 대표적이라 할 수 있는 것은 두 가지인데, 엠에스오랫(msoRAT)은 크리덴셜을 훔치는 기능을, 다이팩(DYEPACK)은 국제 은행 간 네트워크인 스위프트(SWIFT)를 악용해 돈을 세탁하는 기능을 가진 멀웨어들이었다. 하지만 그 외에도 다양한 목적으로, 다양한 멀웨어들을 사용하기도 했다. “전략을 자주 바꾸는 것만큼이나 공격 도구도 다채롭게 활용하는 게 TA444였습니다.”
북한의 암호화폐 사랑
북한 정권은 무역 제재로 인해 수년 동안 경제적 위기 상황을 벗어나지 못하고 있다. 이를 타개하고자 노린 것이 암호화폐였다. 그 전에도 세계 여러 지역의 금융 기관들을 해킹해 오면서 비어가는 국고를 채워왔던 것이 북한임을 생각했을 때, 암호화폐를 표적으로 삼는 게 그리 새로운 변화는 아니었다.
게다가 암호화폐 거래소들은 기존의 금융 기관들보다 안전 장치가 부실한 편이었다. 거래는 일방향으로 이뤄지는 게 보통이었고, 거래에 참여하는 자들의 정확한 신원을 알아내는 것도 어려웠다. 이런 특징들이 가져다주는 장점들이 없는 건 아니지만, 사이버 범죄자들의 도구로 활용되기에 안성맞춤일 때가 더 많았다. 실제 각종 사이버 범죄를 활성화하는 것이 암호화폐라는 지적도 심심찮게 나오고 있다. 북한 해커들이 그리 뛰어나지 않은 기법을 가지고도 엄청난 돈을 끌어다 쓸 수 있게 된 것이 암호화폐 생태계의 불안한 점을 증명하기도 한다.
그런 여러 요소들에 힘입어 작년 한 해 북한은 세계적인 암호화폐 도둑으로서 한 차원 높은 곳에 도달하는 데 성공했다. 블록체인 생태계 분석 전문 업체인 체이널리시스(Chainalysis)에 의하면 2021년 북한이 암호화폐 생태계에서 훔쳐낸 자산의 규모는 4억 달러에 달한다고 하는데, 2022년에는 단 한 번의 공격으로 이 기록을 넘어섰다고 한다. 블록체인 게임 기업인 스카이마비스(SkyMavis)로부터 6억 달러로 추정되는 자산을 가져간 것이다. 여기에 다른 공격을 통해 거둔 수익을 합하면 이들이 한 해 동안 거둔 수익은 10억 달러가 가뿐히 넘어간다고 한다.
“TA444는 공격 패턴과 기술력만으로 보기에는 굉장히 우스워 보이는 게 사실입니다. 실제 보안 전문가들은 TA444를 그리 높게 평가하지 않습니다. 하지만 겉으로 보이는 그런 모습에 우리는 속고 있는지도 모릅니다. 실제 그들은 매우 영악하며, 목적한 바를 반드시 이뤄내는 끈질김까지 갖추고 있습니다. 반드시 경계해야 하는 세력입니다.” 프루프포인트의 설명이다.
“MSHTA, VBS, 파워셸 등 스크립트 언어가 실행되는 프로세스들을 면밀히 관찰한다면 TA444의 활동을 어느 정도 잡아낼 수 있습니다. 또한 다중 인증 도입 등 심층 방어를 위한 기본 보안 수칙들을 지키는 것으로도 TA444의 공격을 어렵게 만들 수 있습니다. 직원들의 소셜미디어 활동에 대해서도 주기적인 교육이 있어야 하고요.”
3줄 요약
1. 북한의 해킹 그룹 TA444, 아마추어스러운 공격 능력 갖춰 웃음거리.
2. 하지만 이들이 암호화폐 생태계에서 일으키는 피해는 천문학적.
3. 여러 가지를 실험하고 실패하는 데에 두려움 없는 게 성공 요인.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
