북한 해커조직 ‘히든 코브라’, 한국소비자원 이어 한국공정거래조정원도 해킹 시도
4월 27일 남북 공동 판문점 선언 이후에도 북한관련 단체 공격과 SNS 활동 지속
[보안뉴스 김경애 기자] 북한의 해커조직 ‘히든 코브라’가 한국소비자원 뿐만 아니라 한국공정거래조정원도 사이버공격을 감행했던 것으로 조사됐다.
자유한국당 이종명 의원실에 보고한 공정거래위원회 문건에 따르면 최근 1년간 북한 해커그룹으로 잘 알려진 ‘히든코브라’와 ‘라자루스’, ‘평화의 수호자’ 등의 지속적인 공격시도가 있었다고 밝혔다.
공격대상은 한국소비자원이 2017년 12월 3일부터 12월 11일까지, 2018년 4월 2일부터 5월 2까지 공격 받은 것으로 드러났으며, 한국공정거래조정원은 2018년 4월 3일, 4월 7일, 4월 15일, 5월 2일 공격당한 것으로 파악됐다.
공격유형은 정보수집(포트스캔)으로 파악됐으며, 공격 조직은 히든 코드라를 지목한 상태다.
피해 현황 및 특이 상황에 대해 공정거래위원회는 “사전탐지 및 차단으로 피해는 없었으며, 유관기관 등에 해당 IP 관련 공격시도 탐지상황을 전파했다”며 “정보보호 시스템을 통해 특정 그룹의 유해 IP를 차단했으며, 점검결과 특이상황은 없었다”고 밝혔다.
특히, 육·해·공 등을 포함한 일체의 모든 적대 행위를 중단하기로 남북이 공동 발표한 4.27 판문점선언 이후에도 사이버공격이 있었다는 점에서 공격조직을 ‘히든 코브라’로 추정했다는 점은 주목할 대목이다. 한국소비자원과 한국공정거래조정원 모두 4월 27일 판문점 선언 이후에 공격을 받았기 때문이다.
이에 대해 익명을 요청한 보안전문가는 “판문점 선언에는 육해공 등을 포함한 모든 공간으로 사실상 사이버상의 공간도 포함된다”며 “하지만 북한 추정 해커조직은 4월 27일 판문점 선언 이후에도 한국소비자원은 물론 북한관련 단체 타깃으로도 지속적으로 공격이 감행됐다”고 밝혔다.
또 다른 보안전문가 역시 “4.27 판문점 선언 이후부터 지난 5월 4일까지도 북한 추정 해커들이 활동하는 것을 포착했다”며 “페이스북에 위장 계정을 만들어 대북 관련 종사자들을 친구로 추가한 후, 정보수집 목적의 악성앱을 보내는 등 페이스북 활동을 펼치고 있다”며 귀띔했다.
그러면서 그는 “사이버 공간은 누가 했는지 모르게 위장하면 추적과 증명이 쉽지 않다. 이 때문에 국가 간에 사이버공격이 있어도 인정하지 않으며, 심지어 우방국가 간에 해킹이 이루어지기도 한다. 이러한 특성에 비춰볼 때 사이버공격은 절대 사라지지 않을 것”이라고 예상했다. 더욱이 ‘히든 코브라’ 조직은 최근 가상화폐 분야에서 흔직이 많이 발견됐다며 실제 가상화폐 거래소를 공격할 때 공정거래위원회로 위장한 문서가 나돌기도 했다고 덧붙였다.
이렇듯 남북의 화해 분위기와는 별개로 북한의 사이버공격은 계속될 수 있다는 얘기다. 이번 사건에서 또 한 가지 주목되는 점은 ‘히든 코브라’를 해킹 배후로 지목하고 있다는 점이다.
이와 관련 일각에서는 해커그룹 관련 IP만 갖고 ‘히든 코브라’를 공격 조직으로 주장하는 건 무리가 있다는 의견도 제기됐다. 만약 한국소비자원이 실제로 ‘히든 코브라’가 사용하는 악성코드에 감염돼 기존 샘플 악성코드와 매칭된다면 ‘히든 코브라’가 해킹 주범일 가능성이 농후하지만 단순히 IP만 갖고는 근거가 부족하다는 얘기다.
이에 대해 한 보안전문가는 “US CERT에 ‘히든 코브라’ 관련 IP가 공개돼 있지만, 설사 그렇다 하더라도 그것만 갖고 단정 짓기엔 근거가 부족하다”고 지적했다.
본지 취재 결과 국가정보원이 한국소비자원에 ‘히든 코브라’의 IP를 알려준 것으로 파악됐으며, 국정원이 공정거래위원회 사이버안전센터에 한국소비자원에 대한 모니터링 강화 등 보안에 신경쓸 것을 당부한 것으로 알려졌다.
[김경애 기자(boan3@boannews.com)]
4월 27일 남북 공동 판문점 선언 이후에도 북한관련 단체 공격과 SNS 활동 지속
[보안뉴스 김경애 기자] 북한의 해커조직 ‘히든 코브라’가 한국소비자원 뿐만 아니라 한국공정거래조정원도 사이버공격을 감행했던 것으로 조사됐다.
[자료=이종명 의원실]
자유한국당 이종명 의원실에 보고한 공정거래위원회 문건에 따르면 최근 1년간 북한 해커그룹으로 잘 알려진 ‘히든코브라’와 ‘라자루스’, ‘평화의 수호자’ 등의 지속적인 공격시도가 있었다고 밝혔다.
공격대상은 한국소비자원이 2017년 12월 3일부터 12월 11일까지, 2018년 4월 2일부터 5월 2까지 공격 받은 것으로 드러났으며, 한국공정거래조정원은 2018년 4월 3일, 4월 7일, 4월 15일, 5월 2일 공격당한 것으로 파악됐다.
공격유형은 정보수집(포트스캔)으로 파악됐으며, 공격 조직은 히든 코드라를 지목한 상태다.
피해 현황 및 특이 상황에 대해 공정거래위원회는 “사전탐지 및 차단으로 피해는 없었으며, 유관기관 등에 해당 IP 관련 공격시도 탐지상황을 전파했다”며 “정보보호 시스템을 통해 특정 그룹의 유해 IP를 차단했으며, 점검결과 특이상황은 없었다”고 밝혔다.
특히, 육·해·공 등을 포함한 일체의 모든 적대 행위를 중단하기로 남북이 공동 발표한 4.27 판문점선언 이후에도 사이버공격이 있었다는 점에서 공격조직을 ‘히든 코브라’로 추정했다는 점은 주목할 대목이다. 한국소비자원과 한국공정거래조정원 모두 4월 27일 판문점 선언 이후에 공격을 받았기 때문이다.
이에 대해 익명을 요청한 보안전문가는 “판문점 선언에는 육해공 등을 포함한 모든 공간으로 사실상 사이버상의 공간도 포함된다”며 “하지만 북한 추정 해커조직은 4월 27일 판문점 선언 이후에도 한국소비자원은 물론 북한관련 단체 타깃으로도 지속적으로 공격이 감행됐다”고 밝혔다.
또 다른 보안전문가 역시 “4.27 판문점 선언 이후부터 지난 5월 4일까지도 북한 추정 해커들이 활동하는 것을 포착했다”며 “페이스북에 위장 계정을 만들어 대북 관련 종사자들을 친구로 추가한 후, 정보수집 목적의 악성앱을 보내는 등 페이스북 활동을 펼치고 있다”며 귀띔했다.
그러면서 그는 “사이버 공간은 누가 했는지 모르게 위장하면 추적과 증명이 쉽지 않다. 이 때문에 국가 간에 사이버공격이 있어도 인정하지 않으며, 심지어 우방국가 간에 해킹이 이루어지기도 한다. 이러한 특성에 비춰볼 때 사이버공격은 절대 사라지지 않을 것”이라고 예상했다. 더욱이 ‘히든 코브라’ 조직은 최근 가상화폐 분야에서 흔직이 많이 발견됐다며 실제 가상화폐 거래소를 공격할 때 공정거래위원회로 위장한 문서가 나돌기도 했다고 덧붙였다.
이렇듯 남북의 화해 분위기와는 별개로 북한의 사이버공격은 계속될 수 있다는 얘기다. 이번 사건에서 또 한 가지 주목되는 점은 ‘히든 코브라’를 해킹 배후로 지목하고 있다는 점이다.
[자료=이종명 의원실]
이와 관련 일각에서는 해커그룹 관련 IP만 갖고 ‘히든 코브라’를 공격 조직으로 주장하는 건 무리가 있다는 의견도 제기됐다. 만약 한국소비자원이 실제로 ‘히든 코브라’가 사용하는 악성코드에 감염돼 기존 샘플 악성코드와 매칭된다면 ‘히든 코브라’가 해킹 주범일 가능성이 농후하지만 단순히 IP만 갖고는 근거가 부족하다는 얘기다.
이에 대해 한 보안전문가는 “US CERT에 ‘히든 코브라’ 관련 IP가 공개돼 있지만, 설사 그렇다 하더라도 그것만 갖고 단정 짓기엔 근거가 부족하다”고 지적했다.
본지 취재 결과 국가정보원이 한국소비자원에 ‘히든 코브라’의 IP를 알려준 것으로 파악됐으며, 국정원이 공정거래위원회 사이버안전센터에 한국소비자원에 대한 모니터링 강화 등 보안에 신경쓸 것을 당부한 것으로 알려졌다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
