北 해킹조직 ‘탈륨’, 노태우 조문 관련 네이버 뉴스로 사칭해 해킹 공격 시도…주의

DOC 매크로 악성파일과 PDF 취약점 등으로 APT공격 이력 보유…악명 높은 탈륨 조직 소행

네이버 뉴스로 위장한 해킹 공격 이메일 화면. 일부 모자이크 처리.(자료제공. 이스트시큐리티)

북한 연계 해킹 그룹으로 알려진 ‘탈륨’의 새로운 APT캠페인 해킹 공격이 포착됐다. 각별한 주의가 요구된다.

이스트시큐리티 측에 따르면, 이번 공격은 이메일에 악성 파일을 첨부해 보내는 전형적인 스피어 피싱(Spear Phishing) 공격 기법과 다르게, 마치 최근 있었던 시사 정치 뉴스처럼 가장해 본문의 URL링크주소 클릭을 유도하는 사회공학적 피싱 수법이 쓰였다고 설명했다.

먼저 위협행위자는 북한 분야에서 활동하는 대북 전문가들을 주요 표적 삼아 이번 공격을 수행했고, 마치 고(故) 노태우 전 대통령의 법적 사위인 최태원 회장이 서울대병원 장례식장에 위치한 빈소를 찾아 조문하고 미국 출장 길에 오른다는 네이버 뉴스처럼 위장해 수신자의 경계심을 낮추고 접근하는 치밀함을 보였다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)의 확인결과 해당 공격에 사용된 문구와 조작된 가짜 사이트 화면은 실제 모 언론사의 실제 뉴스 내용을 그대로 무단 인용한 것으로 확인됐다.

공격에 사용된 이메일은 보낸 사람과 주소가 “네이버 뉴스<news@navercorp.corn>”로 조작됐고, 실제 발신지는 불가리아 이메일 서비스인 “mail.bg”인 것으로 밝혀졌는데, 해당 서비스는 북한과 연계된 사이버 위협 조직이 그동안 여러 차례 사용한 바 있다. 그리고 이메일을 자세히 살펴보면 com 도메인이 아니라 c o r n 알파벳으로 교묘히 발신지를 위장한 사실도 알 수 있다.

해킹 이메일 본문에는 [뉴스 바로 가기] 링크가 2개 포함돼 있고, 모두 ‘nid.livelogin365.in[.]net’이라는 해외 서버로 접속을 유도한다. 이때 해당 주소로 접근된 사용자의 IP주소 및 웹 브라우저 등 일부 정보가 노출될 가능성이 있고, 공격자의 의도에 따라 추가 악성 파일이 설치되는 위험성이 존재한다. 이후 ‘nnews.naver-con.cloudns[.]cl’ 주소로 이동시켜 실제 뉴스 내용처럼 위장한 가짜 화면을 보여주게 된다.

그동안 북한 정찰총국과 연계된 것으로 널리 알려진 동일 위협 행위자들은 악성 매크로(Macro) 명령을 삽입한 DOC, XLS 문서나 PDF 취약점(CVE-2020-9715) 공격을 주로 사용했는데, 이번에는 이메일 본문에 가짜 링크를 넣어 클릭 유무를 체크하고 외부에 위협 행위가 감지되는 것을 최소화하기 위한 정찰 단계가 관측된 점이 주목된다.

ESRC 분석에 의하면, 이번 공격의 배후는 미국 마이크로소프트(MS)사에서 명명한 북한 연계 해킹 그룹 일명 ‘탈륨’ 조직의 소행으로 지목됐고, 대북 분야 활동가를 겨냥한 페이크 스트라이커 캠페인 일환으로 드러났다.

이번 공격의 발신지와 명령제어(C2) 서버 주소, 위협 행위자가 사용한 과거 악성파일 코드 유사도 등을 종합적으로 분석한 결과, 해당 조직의 고유한 활동 공통점을 확인했고 이들의 위협 수위가 갈수록 거세지고 있다고 밝혔다.

이스트시큐리티 ESRC센터장 문종현 이사는 “사회적으로 관심이 집중된 실제 뉴스를 활용해 수신자로 하여금 호기심을 유발하고, 악성 링크에 접근하도록 유인하는 지능적인 해킹 수법으로 북한 분야 종사자들을 지속적으로 노리고 있다”며, “특히, 외교•안보•국방•통일 및 대북 분야 전문가들은 평소 보지 못했던 발신자나 뜬금없이 도착한 이메일은 항상 주의하는 것이 안전하다”고 당부했다.

이스트시큐리티는 새롭게 발견된 악성 피싱 주소의 긴급 업데이트를 완료했으며, 피해 확산 방지를 위한 대응 조치를 관련 부처와 긴밀하게 협력하고 있다.

◈[PASCON 2021] 공공•금융•기업 정보보안&개인정보보호 컨퍼런스에 초대합니다.

-2022년 공공∙기업 정보보안책임자/실무자를 위한 최고의 컨퍼런스-

△주최: 데일리시큐

△후원: 개인정보보호위원회•한국인터넷진흥원•한국정보보호산업협회

△참석대상: 공공기관•공기업•정부산하기관•금융기관•의료•교육•일반기업 개인정보보호 및 정보보호 담당자, IT담당자 등 1,000여 명 참석

(※위 관계자 이외 일반인은 참석 금지)

△일시: 2021년 11월 11일 목요일(오전9시~오후5시30분)

△장소: 더케이호텔서울 2층 가야금홀 전관

△솔루션전시회: 국내•외 최신 개인정보보호 및 정보보호 솔루션

△교육인증: 공무원 정보보호/개인정보보호 교육 및 자격증 유지 교육시간 7시간인정

△사전등록: 클릭