북한 추정 해커조직 히든코브라, 한국소비자원 원격 접근 등 사이버공격 시도 포착
한국소비자원의 총 75개 공인 IP에 대한 무차별 접근 공격 시도
보안전문가, 다른 공격 위한 교두보 가능성...향후 추적 더욱 어렵게 할 것
[보안뉴스 김경애 기자] 한국소비자원을 타깃으로 한 북한 추정 사이버공격이 포착됐다. 그동안 북한 추정 해커조직은 외화벌이나 정보탈취 목적으로 군, 정부기관, 금융기관 등을 주로 공격해 왔다. 하지만 이번에는 한국소비자원을 타깃으로 공격을 감행해 어떤 의도가 있는지 관심이 모아지고 있다.
자유한국당 이종명 의원이 밝힌 한국소비자원 문건을 살펴보면 “최근 우리원을 1개월 동안(2018.03.31.부터 현재까지) 지속적으로 공격하고 있는 북한 해커그룹을 공정위 사이버안전센터가 탐지했다”고 밝혔다.
이번에 한국소비자원을 공격한 해커그룹은 북한 추정 해커조직인 ‘히든 코브라’로 분석됐으며, 한국소비자원의 총 75개 공인 IP에 대한 무차별 접근과 원격접속 시도가 있었던 것으로 분석됐다.
이에 따라 한국소비자원은 공정거래위원회 사이버안전센터와 협조해 북한 해커그룹 관련 IP전체를 차단하고, 한국소비자원 방화벽 시스템에 차단 리스트에 등록했다고 밝혔다. 또한, 원격 접근이 포착됨에 따라 대외 서비스용 서버 25대 원격 서비스 차단, SSH 기본포트 변경, 펌웨어 업데이트, 웹과 WAS 분리후 WAS 서버 내부 영역 이전 등의 조치를 취했다고 덧붙였다.
이에 대해 이종명 의원실은 “공정거래위원회 사이버안전센터에서 공식 답변을 준비 중인 것으로 알고 있다”고 밝혔다.
그렇다면 북한 해커조직은 왜 한국소비자원을 공격했을까? 더군다나 최근 남북은 정상회담 이후 화해 분위기가 그 어느 때보다 무르익고 있는 상황이다. 이에 따라 사이버공격 빈도도 이전 미사일 발사 당시보다 현저히 줄었으며, 한국인터넷진흥원의 사이버위기경보도 평창동계올림픽 이후 한 단계 내려간 상황이다.
또한, 북한의 해커조직은 정보탈취 목적으로 정치, 군, 탈북단체 등을, 외화벌이 목적으로 가상화폐 거래소, 금융기관 등을 주로 공격해 왔기 때문에 한국소비자원을 타깃으로 여러 차례 공격을 시도했다는 점에서 그 이유와 배경에 관심이 모아지고 있다.
이와 관련 익명을 요청한 한 보안전문가는 “간혹 연관성이 없어 보이는 특정 기업 또는 기관을 타깃으로 공격한 경우를 보면, 구성원 중 한 명이 대북 관련 활동자가 있었던 경우가 있다”며 “또 다른 측면에서는 다른 곳을 공격하기 위한 교두보로 활용하기 위한 것일 수도 있다. 한국소비자원 홈페이지를 명령제어 서버로 악용하거나 한국소비자원을 사칭하기 위한 목적일 수도 있다”고 예측했다.
이어 그는 “판문점 선언이 나온 지 얼마 되지 않은 시점에 이러한 이슈가 드러나 공격자 입장에서도 문제가 될 것”이라며 “앞으로는 공격이 노출되더라도 공격주체를 판단할 수 없도록 추적을 더욱 어렵게 할 것”으로 예상했다.
또 다른 보안전문가 역시 다른 곳을 공격하기 위한 교두보로 활용할 가능성을 제기했다. 그는 “북한 해커들은 사전에 취약한 국내 서버들을 공격해 명령제어(C&C) 서버를 확보한 후, 다양한 공격에 활용한다”며 “이러한 목적으로 소비자원을 공격한 것으로 보인다. 자유한국당 홍철호 의원실 자료에 따르면, 가상화폐와 관련한 한국소비자원의 소비자상담 건수는 지난 2015년 3건에 불과했으나, 최근 2년새 33배가 늘어났으며 피해구제 신청건도 13건에 달하는 것으로 드러났다. 한국소비자원 홈피를 해킹한 뒤, 한국소비자원을 사칭해 가상화폐 거래소나 거래소 고객들을 공격할 가능성도 있다”고 설명했다.
[김경애 기자(boan3@boannews.com)]
한국소비자원의 총 75개 공인 IP에 대한 무차별 접근 공격 시도
보안전문가, 다른 공격 위한 교두보 가능성...향후 추적 더욱 어렵게 할 것
[보안뉴스 김경애 기자] 한국소비자원을 타깃으로 한 북한 추정 사이버공격이 포착됐다. 그동안 북한 추정 해커조직은 외화벌이나 정보탈취 목적으로 군, 정부기관, 금융기관 등을 주로 공격해 왔다. 하지만 이번에는 한국소비자원을 타깃으로 공격을 감행해 어떤 의도가 있는지 관심이 모아지고 있다.
▲북한 해커조직이 한국소비자원을 공격한 이슈에 대한 한국소비자원 내부 문서[자료=자유한국당 이종명 의원실]
자유한국당 이종명 의원이 밝힌 한국소비자원 문건을 살펴보면 “최근 우리원을 1개월 동안(2018.03.31.부터 현재까지) 지속적으로 공격하고 있는 북한 해커그룹을 공정위 사이버안전센터가 탐지했다”고 밝혔다.
이번에 한국소비자원을 공격한 해커그룹은 북한 추정 해커조직인 ‘히든 코브라’로 분석됐으며, 한국소비자원의 총 75개 공인 IP에 대한 무차별 접근과 원격접속 시도가 있었던 것으로 분석됐다.
이에 따라 한국소비자원은 공정거래위원회 사이버안전센터와 협조해 북한 해커그룹 관련 IP전체를 차단하고, 한국소비자원 방화벽 시스템에 차단 리스트에 등록했다고 밝혔다. 또한, 원격 접근이 포착됨에 따라 대외 서비스용 서버 25대 원격 서비스 차단, SSH 기본포트 변경, 펌웨어 업데이트, 웹과 WAS 분리후 WAS 서버 내부 영역 이전 등의 조치를 취했다고 덧붙였다.
이에 대해 이종명 의원실은 “공정거래위원회 사이버안전센터에서 공식 답변을 준비 중인 것으로 알고 있다”고 밝혔다.
그렇다면 북한 해커조직은 왜 한국소비자원을 공격했을까? 더군다나 최근 남북은 정상회담 이후 화해 분위기가 그 어느 때보다 무르익고 있는 상황이다. 이에 따라 사이버공격 빈도도 이전 미사일 발사 당시보다 현저히 줄었으며, 한국인터넷진흥원의 사이버위기경보도 평창동계올림픽 이후 한 단계 내려간 상황이다.
또한, 북한의 해커조직은 정보탈취 목적으로 정치, 군, 탈북단체 등을, 외화벌이 목적으로 가상화폐 거래소, 금융기관 등을 주로 공격해 왔기 때문에 한국소비자원을 타깃으로 여러 차례 공격을 시도했다는 점에서 그 이유와 배경에 관심이 모아지고 있다.
이와 관련 익명을 요청한 한 보안전문가는 “간혹 연관성이 없어 보이는 특정 기업 또는 기관을 타깃으로 공격한 경우를 보면, 구성원 중 한 명이 대북 관련 활동자가 있었던 경우가 있다”며 “또 다른 측면에서는 다른 곳을 공격하기 위한 교두보로 활용하기 위한 것일 수도 있다. 한국소비자원 홈페이지를 명령제어 서버로 악용하거나 한국소비자원을 사칭하기 위한 목적일 수도 있다”고 예측했다.
이어 그는 “판문점 선언이 나온 지 얼마 되지 않은 시점에 이러한 이슈가 드러나 공격자 입장에서도 문제가 될 것”이라며 “앞으로는 공격이 노출되더라도 공격주체를 판단할 수 없도록 추적을 더욱 어렵게 할 것”으로 예상했다.
또 다른 보안전문가 역시 다른 곳을 공격하기 위한 교두보로 활용할 가능성을 제기했다. 그는 “북한 해커들은 사전에 취약한 국내 서버들을 공격해 명령제어(C&C) 서버를 확보한 후, 다양한 공격에 활용한다”며 “이러한 목적으로 소비자원을 공격한 것으로 보인다. 자유한국당 홍철호 의원실 자료에 따르면, 가상화폐와 관련한 한국소비자원의 소비자상담 건수는 지난 2015년 3건에 불과했으나, 최근 2년새 33배가 늘어났으며 피해구제 신청건도 13건에 달하는 것으로 드러났다. 한국소비자원 홈피를 해킹한 뒤, 한국소비자원을 사칭해 가상화폐 거래소나 거래소 고객들을 공격할 가능성도 있다”고 설명했다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-18] 
.jpg)
