.jpg)
안랩, Kimsuky 그룹의 2022년 사이버 공격 동향 분석 보고서 공개
보안담당자는 보안 현황 파악 및 패치 적용, 임직원 보안교육, 공격 대응 정책 수립 필요
개인은 출처 불분명한 파일 열람 및 실행 자제, 최신 보안 패치, 이중인증, 백신 업데이트 필요
[보안뉴스 김영명 기자] 주요 위협 조직인 북한 김수키(Kimsuky) 해킹그룹의 지난해 공격방식을 분석했을 때 주요 공격 특징은 △타깃 맞춤형 ‘스피어피싱’ 적극 활용 △활용하는 악성코드 종류 다변화 △유명 소프트웨어 취약점 악용 시도 등 세 가지로 요약할 수 있다.
안랩(대표 강석균)은 이와 같은 내용을 담은 ‘Kimsuky 그룹 2022년 동향 보고서’를 자사의 차세대 위협 인텔리전스 플랫폼 ‘안랩 TIP’에 공개했다. 이번 보고서에서 안랩은 다양한 경로로 유관 악성코드, C2 서버(Command & Control 서버) 등의 정보를 수집해 기존 김수키 해킹그룹이 수행한 것으로 알려진 공격 방식과 비교·대조하며 분석을 진행했다. 이를 바탕으로 2022년 김수키 해킹그룹의 악성코드 유포 방식 및 공격 특징 등을 작성했다.
첫 번째 특징은 ‘타깃 맞춤형 스피어피싱 적극 활용’이다. 지난해 김수키 그룹은 타깃이 된 개인과 조직 구성원을 속이기 위해 최적화된 스피어피싱 수법을 적극적으로 활용한 것으로 나타났다. ‘스피어피싱(spear phishing)’이란 특정인이나 특정 조직을 표적으로 정교하게 제작된 메일 등을 보내 악성코드 감염이나 피싱 사이트 접속을 유도하는 공격방식이다.
안랩이 수집한 다양한 유관 악성 문서와 파일을 분석한 결과, 공격자는 타깃 조직 및 개인과 연관성이 높은 주제로 좌담회·자문요청서·연구 결과보고서 등을 위장한 악성문서를 제작해 악성코드 유포에 활용했다. 또한, 문서나 이메일 등을 실제와 분간이 어려울 정도로 정교하게 제작한 것으로 볼 때, 공격그룹은 타깃에 대한 치밀한 사전 조사를 수행한 것으로 추정할 수 있었다.
두 번째 특징은 ‘활용하는 악성코드 종류 다변화’다. 김수키 그룹은 공격에 활용하는 악성코드의 종류도 확대했다. 이 해킹그룹은 3년여 전부터 특정 키로깅 악성코드(컴퓨터 사용자의 키보드 움직임을 탐지해 ID나 패스워드, 계좌번호, 카드번호 등과 같은 개인의 중요한 정보를 몰래 탈취하는 악성코드) 또는 백도어 악성코드(공격자가 차후 공격을 수행할 목적으로 시스템에 설치하는 악성코드)를 주로 사용해온 것으로 알려져 있다.
그러나 안랩이 수집한 유관 악성 URL 및 FTP(파일 전송 프로토콜) 서버를 분석한 결과 키로깅 악성코드인 ‘FlowerPower(플라워파워)’와 백도어 악성코드인 ‘AppleSeed(애플시드)’ 외에도 웹브라우저 내 각종 정보를 유출하는 ‘인포스틸러’ 악성코드, 원격제어 악성코드인 ‘RAT(Remote Administration Tool)’도 추가로 발견됐다. 이에 따라 공격자는 더욱 광범위한 피해를 발생시키기 위해 공격에 활용하는 악성코드를 다변화하고 있는 것으로 보인다.
세 번째 특징은 ‘유명 소프트웨어 취약점 활용 시도’가 포착됐다. 안랩은 김수키 해킹그룹이 사용한 것으로 보이는 FTP 서버에서 MS 오피스 관련 취약점인 ‘폴리나(Folina, CVE-2022-30190)’를 악용하는 악성코드를 발견했다.
‘폴리나’ 취약점은 2022년 1월 제로데이 취약점으로 파악돼 6월에 패치가 배포됐다. 그러나 보안패치를 적용하지 않은 조직과 개인은 해당 취약점을 활용한 공격에 노출될 수 있다. 특히, 폴리나 취약점을 악용하면 사용자가 악성 워드 파일을 열기만 해도 악성코드에 감염될 수 있기 때문에 조직과 개인은 사용하고 있는 소프트웨어의 보안패치를 반드시 적용해야 한다.
이와 같은 피해를 예방하기 위해 먼저, 조직 보안담당자는 △조직 내 PC·운영체제·SW·웹사이트 등에 대한 보안 현황 파악 △운영체제·소프트웨어 취약점 상시 파악 및 보안 패치 적용 △보안 솔루션·서비스 활용 및 내부 임직원 보안교육 실시 △최신 공격동향 및 취약점 정보 확보 및 정책 수립 등을 수행해야 한다.
또한, 개인은 △출처가 불분명한 메일 속 첨부파일·URL 실행 자제 △소프트웨어·운영체제·인터넷 브라우저 등 최신 보안 패치 적용 △로그인 시 비밀번호 외에 이중인증 사용 △백신 최신버전 유지 및 실시간 감시기능 실행 등 보안 수칙을 지켜야 한다.
안랩은 “김수키 해킹그룹은 명확한 타깃을 설정하고, 이 타깃에 대해 고도화된 공격을 진행하는 것으로 나타났다”며 “이 그룹은 앞으로도 다양한 방식으로 공격 수법을 변화시킬 것으로 보이기 때문에 조직과 개인은 최신 사이버 위협 정보를 습득하고 기본 보안수칙을 일상에서 실천해야 한다”고 말했다.
한편, 안랩이 제공하는 ‘안랩 TIP’은 축적된 보안위협 대응 기술력과 노하우를 집약한 차세대 위협 인텔리전스 플랫폼이다. 안랩 TIP은 △악성코드 및 취약점, 포렌식 보고서 △최신 보안뉴스, 보안권고문 △보안 콘텐츠 관련 위협침해지표(Indicators of Compromise, IoC) 기반의 위협 유형, 악성 파일정보, IP, URL △DDW(Deep&Dark Web) 모니터링 기능 등 포괄적인 위협 인텔리전스 서비스를 제공한다. 이외에도 사용자가 업로드한 의심 파일과 URL에 대해 다차원 행위 분석으로 결과를 제공하는 ‘클라우드 샌드박스 분석’ 기능과 API 제공 기능으로 안랩 제품 외에도 다양한 보안 관리 솔루션과 쉽게 연동이 가능한 점이 특징이다.
[김영명 기자(boan@boannews.com)]
보안담당자는 보안 현황 파악 및 패치 적용, 임직원 보안교육, 공격 대응 정책 수립 필요
개인은 출처 불분명한 파일 열람 및 실행 자제, 최신 보안 패치, 이중인증, 백신 업데이트 필요
[보안뉴스 김영명 기자] 주요 위협 조직인 북한 김수키(Kimsuky) 해킹그룹의 지난해 공격방식을 분석했을 때 주요 공격 특징은 △타깃 맞춤형 ‘스피어피싱’ 적극 활용 △활용하는 악성코드 종류 다변화 △유명 소프트웨어 취약점 악용 시도 등 세 가지로 요약할 수 있다.
▲김수키 해킹그룹이 악성코드 유포를 위해 제작한 악성문서 및 파일[자료=안랩]
안랩(대표 강석균)은 이와 같은 내용을 담은 ‘Kimsuky 그룹 2022년 동향 보고서’를 자사의 차세대 위협 인텔리전스 플랫폼 ‘안랩 TIP’에 공개했다. 이번 보고서에서 안랩은 다양한 경로로 유관 악성코드, C2 서버(Command & Control 서버) 등의 정보를 수집해 기존 김수키 해킹그룹이 수행한 것으로 알려진 공격 방식과 비교·대조하며 분석을 진행했다. 이를 바탕으로 2022년 김수키 해킹그룹의 악성코드 유포 방식 및 공격 특징 등을 작성했다.
첫 번째 특징은 ‘타깃 맞춤형 스피어피싱 적극 활용’이다. 지난해 김수키 그룹은 타깃이 된 개인과 조직 구성원을 속이기 위해 최적화된 스피어피싱 수법을 적극적으로 활용한 것으로 나타났다. ‘스피어피싱(spear phishing)’이란 특정인이나 특정 조직을 표적으로 정교하게 제작된 메일 등을 보내 악성코드 감염이나 피싱 사이트 접속을 유도하는 공격방식이다.
안랩이 수집한 다양한 유관 악성 문서와 파일을 분석한 결과, 공격자는 타깃 조직 및 개인과 연관성이 높은 주제로 좌담회·자문요청서·연구 결과보고서 등을 위장한 악성문서를 제작해 악성코드 유포에 활용했다. 또한, 문서나 이메일 등을 실제와 분간이 어려울 정도로 정교하게 제작한 것으로 볼 때, 공격그룹은 타깃에 대한 치밀한 사전 조사를 수행한 것으로 추정할 수 있었다.
두 번째 특징은 ‘활용하는 악성코드 종류 다변화’다. 김수키 그룹은 공격에 활용하는 악성코드의 종류도 확대했다. 이 해킹그룹은 3년여 전부터 특정 키로깅 악성코드(컴퓨터 사용자의 키보드 움직임을 탐지해 ID나 패스워드, 계좌번호, 카드번호 등과 같은 개인의 중요한 정보를 몰래 탈취하는 악성코드) 또는 백도어 악성코드(공격자가 차후 공격을 수행할 목적으로 시스템에 설치하는 악성코드)를 주로 사용해온 것으로 알려져 있다.
그러나 안랩이 수집한 유관 악성 URL 및 FTP(파일 전송 프로토콜) 서버를 분석한 결과 키로깅 악성코드인 ‘FlowerPower(플라워파워)’와 백도어 악성코드인 ‘AppleSeed(애플시드)’ 외에도 웹브라우저 내 각종 정보를 유출하는 ‘인포스틸러’ 악성코드, 원격제어 악성코드인 ‘RAT(Remote Administration Tool)’도 추가로 발견됐다. 이에 따라 공격자는 더욱 광범위한 피해를 발생시키기 위해 공격에 활용하는 악성코드를 다변화하고 있는 것으로 보인다.
세 번째 특징은 ‘유명 소프트웨어 취약점 활용 시도’가 포착됐다. 안랩은 김수키 해킹그룹이 사용한 것으로 보이는 FTP 서버에서 MS 오피스 관련 취약점인 ‘폴리나(Folina, CVE-2022-30190)’를 악용하는 악성코드를 발견했다.
‘폴리나’ 취약점은 2022년 1월 제로데이 취약점으로 파악돼 6월에 패치가 배포됐다. 그러나 보안패치를 적용하지 않은 조직과 개인은 해당 취약점을 활용한 공격에 노출될 수 있다. 특히, 폴리나 취약점을 악용하면 사용자가 악성 워드 파일을 열기만 해도 악성코드에 감염될 수 있기 때문에 조직과 개인은 사용하고 있는 소프트웨어의 보안패치를 반드시 적용해야 한다.
이와 같은 피해를 예방하기 위해 먼저, 조직 보안담당자는 △조직 내 PC·운영체제·SW·웹사이트 등에 대한 보안 현황 파악 △운영체제·소프트웨어 취약점 상시 파악 및 보안 패치 적용 △보안 솔루션·서비스 활용 및 내부 임직원 보안교육 실시 △최신 공격동향 및 취약점 정보 확보 및 정책 수립 등을 수행해야 한다.
또한, 개인은 △출처가 불분명한 메일 속 첨부파일·URL 실행 자제 △소프트웨어·운영체제·인터넷 브라우저 등 최신 보안 패치 적용 △로그인 시 비밀번호 외에 이중인증 사용 △백신 최신버전 유지 및 실시간 감시기능 실행 등 보안 수칙을 지켜야 한다.
안랩은 “김수키 해킹그룹은 명확한 타깃을 설정하고, 이 타깃에 대해 고도화된 공격을 진행하는 것으로 나타났다”며 “이 그룹은 앞으로도 다양한 방식으로 공격 수법을 변화시킬 것으로 보이기 때문에 조직과 개인은 최신 사이버 위협 정보를 습득하고 기본 보안수칙을 일상에서 실천해야 한다”고 말했다.
한편, 안랩이 제공하는 ‘안랩 TIP’은 축적된 보안위협 대응 기술력과 노하우를 집약한 차세대 위협 인텔리전스 플랫폼이다. 안랩 TIP은 △악성코드 및 취약점, 포렌식 보고서 △최신 보안뉴스, 보안권고문 △보안 콘텐츠 관련 위협침해지표(Indicators of Compromise, IoC) 기반의 위협 유형, 악성 파일정보, IP, URL △DDW(Deep&Dark Web) 모니터링 기능 등 포괄적인 위협 인텔리전스 서비스를 제공한다. 이외에도 사용자가 업로드한 의심 파일과 URL에 대해 다차원 행위 분석으로 결과를 제공하는 ‘클라우드 샌드박스 분석’ 기능과 API 제공 기능으로 안랩 제품 외에도 다양한 보안 관리 솔루션과 쉽게 연동이 가능한 점이 특징이다.
[김영명 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김영명기자 기사보기
[2025-02-10] .jpg)
