北 추정 해커들, 추석 직전 통일부까지 사칭했다

통일부 북한인권기록센터를 사칭한 북한 추정 해커들의 이메일 화면 /사진=이스트시큐리티

북한과 관련 있는 것으로 추정되는 해킹 조직이 통일부까지 사칭한 이메일로 대북 관련 대상 단체 관계자들에게 스피어피싱 공격을 한 것으로 조사됐다.

6일 이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 추석 연휴 직전인 지난달 29일 통일부 북한인권기록센터가 발송한 이메일로 위장한 스피어피싱 해킹 공격이 포착됐다.


해커들은 통일부 북한인권기록센터가 보낸 것처럼 북한인권보고서인 '북한인권백서-2020.doc'이라는 제목의 문서 파일을 첨부한 것으로 조사됐다.

이메일 내용에는 '통일부가 외부 공개용으로 발행한 북한인권백서를 송부한다'는 내용과 특정 사무관의 소속과 이름 등을 포함시켰다. 수신자가 실제 통일부 사무관인 줄 알고 첨부파일을 열람하도록 하려는 계획이었던 것으로 파악된다.

해커들은 수신자가 북한인권백서를 위장한 문서 파일을 다운로드해 실행하면 문서 열람에 문제가 있는 것 같은 영문 알림이 나오도록 했다. 이어 문서를 열람하기 위해서는 '콘텐츠 사용' 버튼을 클릭하라고 유도했다.

북한인권백서로 위장한 악성 파일이 실행된 화면. /사진=이스트시큐리티

이 버튼을 누르면 악성 매크로 명령이 실행되도록 설계됐다. 매크로가 실행되면 피해 컴퓨터 정보가 'Alzip.hwp' 파일로 저장되고 'busyday.atwebpages[.]com' 서버와 통신하며 정보 유출이 시도된다. 이 때 실제 보여지는 화면으로는 통일연구원 웹사이트에 공개된 2017년도 북한 백서 문서가 악용됐다. 피해자들이 악성 코드에 노출됐다는 사실을 인지하기 어렵게 하기 위한 것이었다.

ESRC는 이번 해킹 배후로도 탈륨을 지목했다. 탈륨은 북한이 연관된 것으로 알려진 해킹 조직이다. ESRC는 최근 발생한 북한 문제 연구자나 대북 업무 관계자, 북한 관련 내용을 취재하는 기자 등을 상대로 한 여러 건의 피싱 사건에서 배후로 탈륨을 지목했다.

ESRC는 다만 해커들이 사용한 매크로 영문 유도 화면이 해외에서 수차례 보고된 적 있는 'TA551' 위협의 악성 문서 템플릿과 같다는 점을 발견하고 연관성이 있는지 여부를 조사 중이다.

통일부를 사칭한 해커들의 이메일에 첨부된 악성 문서의 매크로 명령이 실행된 후 피해자에게 보여진 화면. 북한인권백서로 가장했다. /사진=이스트시큐리티

문종현 ESRC센터장(이사)는 "추석 연휴 전후 대북 관련 단체장을 겨냥한 APT 공격이 동시다발적으로 진행됐다"며 "탈륨의 사이버 공격 수위가 갈수록 증대되고 있어 유사한 위협에 노출되지 않도록 민관의 각별한 주의와 관심이 요구된다"고 말했다.

특히 문 이사는 "최근 공격자들이 정상 이메일을 먼저 보내 의심받지 않도록 만든 후, 수일이 지난 후에 악성 파일이나 URL 링크를 보내는 등 사전에 치밀하게 준비된 시나리오 기반의 시간차 공격전략을 구사하고 있다"고 경고했다.

한편 이스트시큐리티는 새로 발견된 악성파일을 자사 보안제품 알약의 탐지명에 긴급 추가했다고 밝혔다.