북한 해킹 조직 ‘보이드 도깨비’ 바이너리 악성코드 유포... 개발자 가상자산 노려

기존 파이썬 스크립트 기반 ‘인비저블페럿’, 컴파일된 파일 형태로 변형... 탐지 우회
가짜 구인 인터뷰로 접근, 소프트웨어 개발자 브라우저 인증 정보 및 지갑 인출

[보안뉴스 김형근 기자] 인공지능(AI)과 암호화폐 기업의 소프트웨어 개발자를 노린 북한의 가상자산 탈취 공세가 한층 정교해졌다.

트렌드마이크로 분석에 따르면, 북한 연계 해킹 조직 ‘보이드 도깨비’(Void Dokkaebi)가 기존 파이썬 스크립트 기반 악성코드인 ‘인비저블페럿’(InvisibleFerret)을 컴파일된 바이너리 파일 형태로 업그레이드해 공격을 전개하는 것으로 확인됐다.

이 조직은 페이머스 천리마(Famous Chollima)라고도 불리며. 암호화폐 지갑과 서명키, CI/CD 파이프라인 및 프로덕션 인프라 접근 권한을 보유한 개발자를 주로 겨냥하는 것으로 알려졌다.

인비저블페럿은 윈도우 환경에서 ‘.pyd’ 파일로 유포되며 맥(macOS)에서는 ‘.so’ 파일 형태로 위장한다. 공격자들은 파이썬 코드를 네이티브 바이너리로 변환하는 ‘사이톤(Cython)’ 도구를 활용해 기존 스크립트 기반 보안 솔루션의 탐지 규칙을 우회하는 전략을 취한 것으로 분석됐다.

이들은 AI·암호화폐 기업 채용 담당자를 사칭해 가짜 구인 면접을 진행하며 개발자들이 악성코드가 포함된 저장소를 실행하도록 유도했다. 악성코드에 감염된 시스템은 백도어 권한이 활성화되며 브라우저 인증 정보와 클립보드 데이터, 키보드 입력 기록 등을 탈취당하고, 최종적으로 암호화폐 지갑 자산까지 공격 당한다.

트렌드마이크로 분석 결과, 인비저블페럿은 데이터 연결 담당 ‘mod’, 백도어 구동 ‘pad’, 인증 정보 탈취 ‘brw’, 가짜 지갑 확장 프로그램 이식 및 크롬 보안 강등 ‘mc’ 등 4개 모듈로 구동된다. 아울러 동반 다운로더인 ‘비버테일’(BeaverTail) 역시 파일 경로 등 민감 데이터에 4바이트 키 기반 XOR 암호화를 적용하는 등 복합 위협 형태로 진화했다.

트렌드마이크로 분석가들은 기업 보안팀이 단순 스크립트 스캔 위주의 방어 수칙에서 벗어나 확장 모듈과 런타임 실행 스크립트까지 면밀히 추적하는 바이너리 인지형 접근 방식으로 전환해야 한다고 권고했다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다