국내 가상화폐 노린 북한 외화벌이 해킹 포착

파이어아이, 가상화폐 서비스 타깃 세금 관련 문서 이용한 사이버 공격 발견

[보안뉴스 원병철 기자] 최근 북한의 외화벌이를 위한 해킹 공격이 늘고 있는 상황에서 이번엔 국내 가상화폐 서비스를 노린 북한 사이버 스파이 그룹의 공격이 포착됐다. 지능형 사이버 공격 방어 분야 글로벌 업체인 파이어아이가 ‘TEMP.Hermit’이라 불리는 북한 사이버 스파이 그룹이 세금 관련 문서를 이용하여 국내 가상 화폐 서비스를 대상으로 감행한 사이버 공격을 포착했다고 밝혔다.

▲ 미끼 문서로 사용된 세무조사 준비서류.hwp[자료=파이어아이]

TEMP.Hermit은 지난 5월 말, PEACHPIT 멀웨어를 국내 공격 대상에게 전파하기 위해 국내 세금 마감일을 활용하는 사회공학적 기법의 공격을 감행했다. 스피어피싱 이메일 및 관련 미끼문서를 확인한 결과, 파이어아이는 TEMP.Hermit 공격자들이 국내의 환전 및 중개사무소와 같은 가상 화폐 서비스 제공업체들을 노렸을 것으로 판단하고 있다.

이러한 활동은 가상통화를 활용해 돈을 송금하거나 가상화폐 서비스를 직접적으로 침해하려는 의도였을 가능성이 높다. 국제적 제재로 인해 거세진 압력 때문에 북한 공격자들은 최근 금전적 목적으로 공격을 감행해 왔다. 그러나 이번 가상화폐 서비스가 피해 대상의 일부였는지 다른 조직도 공격대상에 있었는지 명확하게 밝혀지지 않았다.

북한 공격자들이 가상화폐를 어떻게 활용하는지 아직 밝혀진 바가 없다. 다른 화폐나 중앙은행에 의해 관리되고 추적될 수 있는 통화에 비해 가상화폐는 비교적 독립적이고 익명으로 거래된다. 특히, 국가적 제재가 계속 강화되는 가운데 가상화폐의 이러한 특징은 북한 공격자들에게 매력적인 매개체로 비춰졌을 가능성이 높다. 이번 공격에 나선 북한 해커들은 지난 2월말 발생한 비트코인 뉴스 웹사이트의 전략적 웹 침해 사건과 같이 앞서 가상화폐 사이트를 목표로 삼아왔다.

금융감독원을 사칭하는 스피어피싱 이메일이 서울에 위치한 가상화폐 중개사무소 관리자에게 보내졌으며, 스피어피싱 이메일에는 ‘환전_해외송금_한도_및_제출서류.hwp’라는 악성 첨부파일이 포함됐다. 파이어아이는 다음과 같은 파일 이름의 미끼 문서도 확인했다.

△ 세무조사 준비서류.hwp
△ 법인(개인) 혐의 거래보고내역.hwp 및 법인(개인)혐의 거래보고내역.hwp
△ 납세담보변경 요구서.hwp

관련된 샘플들은 약간씩 다른 기술을 사용했지만 미끼 메타데이터나 유사 미끼 내용을 기반으로 한 동일한 공격 캠페인의 일부로 추정된다. 가상화폐 브로슈어를 사용한 미끼문서는 공격이 가상화폐 투자에 대한 이해관계나 관심이 있는 개인을 대상으로 이루어졌음을 나타내고 있다. 다음 파일들은 CVE-2017-0262 취약점을 악용하여 PEACHPIT 멀웨어를 전파했다.

▲ 미끼 문서로 사용된 ‘국내 가상화폐의 유형별 현황 및 향후전망.hwp’[자료=파이어아이]

△ 2017년 5월까지 감지된 유사수신행위와 법률적 조치.docx
△ 국내 가상화폐의 유형별 현황 및 향후전망.hwp

전수홍 파이어아이 코리아 지사장은 “PEACHIPIT을 비롯한 북한 사이버 공격 그룹의 활동은 지속적으로 국내는 물론 해외에서도 큰 위협이 될 것이다. 그럼에도 불구하고 대부분의 조직들은 점점 고도화되고, 지능화되어 가는 사이버 공격을 빠르게 탐지 및 대응할 준비가 되어있지 않다. 이 같은 문제를 해결하기 위해 보안관련 기술은 물론 전문 지식 및 위협 인텔리전스를 확보하는 것이 무엇보다 중요하다”고 말했다.
[원병철 기자(boanone@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)