|
이번 악성 이메일 공격은 통일부 정착지원과의 사무관이 발송한 것처럼 위장하고 있다. 해당 이메일에는 “최근 유명 인사를 노린 사이버 공격이 전방위로 진행되고 있어 안전에 유의를 부탁한다”는 내용과 함께 `210811_업무연락(사이버안전)`이라는 제목의 악성 문서파일을 첨부했다.
이스트시큐리티 시큐리티대응센터(ESRC)는 이번 공격이 국내 대북 분야 종사자를 대상으로 수행된 것으로 확인했다. 특히 이번 공격은 최근 민관 사이버 위기 경보가 `정상`에서 `관심` 단계로 격상됨에 따라, 사이버 보안에 대한 공직자와 대북 관계자의 관심이 높아져 첨부파일을 열어볼 가능성이 크다는 점을 교묘히 노린 것으로 분석했다.
또 ESRC의 심층분석 결과 지난 5월 북한 연계 해킹조직 `탈륨`이 수행한 작전명 `사이버 스톰` 공격과 동일한 계열의 코드 등 유사점을 발견해 이번 공격의 배후에도 탈륨이 있는 것으로 확인했다.
이번 공격에 첨부된 악성 문서파일 내부에 악성 매크로 코드가 숨겨져 있으며, 추가 악성 명령을 수행하기 위해 국내 특정 고시학원 사이트 서버를 탈취해 명령 제어서버(C2)로 활용한 것으로 나타났다. 실제로 이메일 수신자가 첨부된 악성 문서를 열어보면, `호환성 문제로 콘텐츠를 불러올 수 없으며, 정상적인 문서 확인을 위해서 `콘텐츠 사용` 버튼을 클릭하라`는 내용이 나온다.
만약 이메일 수신자가 `콘텐츠 사용` 버튼을 클릭하면 해커가 사전에 설정한 악성 매크로가 동작해 해킹 명령이 은밀하게 작동되기에, 신뢰할 수 없는 문서의 경우 함부로 클릭하지 않는 습관이 필요하다. 또 최근 탈륨 조직이 PDF 파일 취약점을 악용하는 신종 수법도 사용하고 있어 관련 프로그램을 최신 버전으로 업데이트해야 한다.
문종현 이스트시큐리티 ESRC센터장은 “현재 북한 연계 해킹조직의 대남 사이버 공작 활동이 예사롭지 않고, 외교·안보·국방·통일 및 대북 분야에서 활동하는 고위 유력인사를 집중 겨냥해 공격하고 있다”며 “이메일로 PDF, DOC 형식의 문서를 전달받을 경우 문서를 열어보기 전에 이메일 발신자에게 연락해 실제 발송 여부를 확인하는 것이 중요하다”고 당부했다.
