동시통역·번역 민간 전문가를 집중 겨냥한 북한 발 APT(지능형지속위협) 공격 발생
국제회의 및 학술세미나 통역 의뢰 내용처럼 현혹해 악성 링크를 열람하도록 유인
이스트시큐리티 “네이버 전자 보안 문서 본인인증으로 위장해 이메일 계정정보 탈취 시도”
[보안뉴스 원병철 기자] 최근 북한 연계 해킹 조직의 소행으로 분류된 새로운 사이버 위협 활동이 다수 포착돼 주의가 요구된다. 보안 전문 기업 이스트시큐리티(대표 정상원)는 민간 통역사들을 노린 해킹 시도를 공개하며 각별한 주의와 대비가 요구된다고 밝혔다.
새로 발견된 공격 수법은 마치 국제 행사의 동시통역을 의뢰하는 것처럼 조작된 해킹 이메일을 다수의 통역 분야 종사자들에게 전송한 것이 특징이다. 이처럼 통역사를 집중 겨냥한 표적 공격 사례는 매우 이례적으로, 영어, 중국어, 러시아어에 능통한 통역사들이 위협 대상에 대거 포함됐다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)는 특정 통역사 대상 공격 의도를 정확히 규명하기 위해 다각적 분석을 면밀히 진행 중이며, 측면 공격루트를 확보하기 위한 다단계 침투 시나리오 등 모든 가능성을 염두에 두고 조사를 하고 있다.
실제 사이버 공격에 사용된 이메일을 살펴보면, 크게 3가지 유형이 확인됐는데 통역 언어(영어, 중국어, 러시아어)에 따라 본문 내용과 첨부파일 표현이 조금씩 다르게 적시됐고, 그 외 일본어 사용 징후도 일부 관측됐다. 공격자는 행사 일정에 참여가 가능한지 여부를 먼저 묻고, 그 다음 첨부된 문서 내용 중 어느 부분의 통역을 맡아줄 수 있는지 회신을 요구하며 자연스럽게 첨부 문서 내용을 터치하도록 유인했다.
하지만 첨부 파일을 클릭해도 문서는 전혀 받아지지 않고, 마치 중요한 ‘전자문서 인증용’ 보안 화면처럼 꾸며진 특정 웹 사이트를 보여주고, 이메일의 비밀번호를 입력해야 전자문서를 볼 수 있는 것처럼 현혹한다. 만약 이곳에 비밀번호를 입력하면 통역사 계정 정보가 외부로 은밀히 유출된다.
만약 비밀번호가 입력될 경우, 공격자는 피해자에게 추가 이메일을 따로 보내 답신이 늦어 죄송하다는 말과 함께, 통역에 응해주어 감사하지만 코로나 급증으로 인해 행사가 미뤄졌다는 식으로 일정을 잠정 연기하고 대화를 마무리하는 치밀함을 보인다. 결국 피해자는 정상적인 통역 의뢰 이메일로 믿고, 자신의 비밀번호가 외부에 노출된 것을 인지하기 어렵게 된다.
ESRC는 이번 비밀번호 탈취에 사용된 해외 거점(accounts.nidnavercorp.cloudns[.]nz) 주소가 작년 12월에 이미 ‘블록체인협회를 사칭한 공격’과 ‘미국 국무부의 한반도 평화 달성을 위한 북한과의 외교 전념 언론 보도로 위장한 공격’ 사례와 정확히 일치한다고 밝혔다.
특히, 이번 전자문서로 위장한 사이트로 암호가 유출될 경우 사용자를 속이기 위한 목적으로 정상 워드 DOC 문서 파일이 다운로드 되는데 이와 유사한 파일 중 실제 악성코드가 확인됐고, 기존 북한 연계 해킹 조직이 사용하던 매크로 코드와 감염 수법이 100% 동일한 것으로 분석됐다. 더불어 공격자가 과거부터 꾸준히 사용하던 고유 아이디 ‘zhaozhongcheng’, ‘Venus.H’, ‘Naeil_영문시작’ 등이 이번에 모두 발견됐다. ‘zhaozhongcheng’ 계정은 지난 2019년 ‘김민관 부부장 토론문.hwp’ 악성 파일에서 사용됐고, ‘Venus.H’ 계정의 경우 이미 2019년 ‘북한의 회색지대 전략과 대응방안.hwp’ 악성 파일에서 발견된 바 있는데, 모두 北 배후 소행으로 분류된 침해 지표들이다.
해당 사이버 안보위협 조직은 그동안 주로 외교·안보·국방·통일 및 대북 분야 종사자를 상대로 사이버 작전을 전개해 왔는데, 이번처럼 국제 통역사를 집중적으로 공격한 경우는 이전까지 전혀 보고된 바 없었기에 이들의 의도를 명백히 파악하는데 역량을 집중하고 있다.
이스트시큐리티 ESRC 센터장 문종현 이사는 “동시 통역사들이 외교·안보·국방·통일 분야 국제 컨퍼런스나 다양한 정부 행사에 직접 참여하는 경우도 있어, 北 연계 위협 조직들이 이점을 노린 가능성과 주요 인물에 접근하기 위한 사전 초기 침투 과정일 수 있다”라며, “평소 보지 못했던 발신자나 뜬금없이 도착한 이메일은 항상 주의하는 것이 안전하다”고 당부했다.
한편, 이스트시큐리티는 이와 관련된 악성파일을 알약(ALYac) 백신 프로그램에 업데이트를 완료하고, 사이버 위협 정보를 한국인터넷진흥원(KISA) 등 관계당국과 긴밀히 공유해 기존에 알려진 위협이 확산되지 않도록 협력을 유지하고 있다고 밝혔다.
[원병철 기자(boanone@boannews.com)]
국제회의 및 학술세미나 통역 의뢰 내용처럼 현혹해 악성 링크를 열람하도록 유인
이스트시큐리티 “네이버 전자 보안 문서 본인인증으로 위장해 이메일 계정정보 탈취 시도”
[보안뉴스 원병철 기자] 최근 북한 연계 해킹 조직의 소행으로 분류된 새로운 사이버 위협 활동이 다수 포착돼 주의가 요구된다. 보안 전문 기업 이스트시큐리티(대표 정상원)는 민간 통역사들을 노린 해킹 시도를 공개하며 각별한 주의와 대비가 요구된다고 밝혔다.
▲학술세미나 동시통역 의뢰로 위장한 해킹 이메일 실제 사례들 화면[자료=이스트시큐리티]
새로 발견된 공격 수법은 마치 국제 행사의 동시통역을 의뢰하는 것처럼 조작된 해킹 이메일을 다수의 통역 분야 종사자들에게 전송한 것이 특징이다. 이처럼 통역사를 집중 겨냥한 표적 공격 사례는 매우 이례적으로, 영어, 중국어, 러시아어에 능통한 통역사들이 위협 대상에 대거 포함됐다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)는 특정 통역사 대상 공격 의도를 정확히 규명하기 위해 다각적 분석을 면밀히 진행 중이며, 측면 공격루트를 확보하기 위한 다단계 침투 시나리오 등 모든 가능성을 염두에 두고 조사를 하고 있다.
실제 사이버 공격에 사용된 이메일을 살펴보면, 크게 3가지 유형이 확인됐는데 통역 언어(영어, 중국어, 러시아어)에 따라 본문 내용과 첨부파일 표현이 조금씩 다르게 적시됐고, 그 외 일본어 사용 징후도 일부 관측됐다. 공격자는 행사 일정에 참여가 가능한지 여부를 먼저 묻고, 그 다음 첨부된 문서 내용 중 어느 부분의 통역을 맡아줄 수 있는지 회신을 요구하며 자연스럽게 첨부 문서 내용을 터치하도록 유인했다.
하지만 첨부 파일을 클릭해도 문서는 전혀 받아지지 않고, 마치 중요한 ‘전자문서 인증용’ 보안 화면처럼 꾸며진 특정 웹 사이트를 보여주고, 이메일의 비밀번호를 입력해야 전자문서를 볼 수 있는 것처럼 현혹한다. 만약 이곳에 비밀번호를 입력하면 통역사 계정 정보가 외부로 은밀히 유출된다.
▲포털 전자문서 서비스로 위장한 악성 사이트 화면[자료=이스트시큐리티]
만약 비밀번호가 입력될 경우, 공격자는 피해자에게 추가 이메일을 따로 보내 답신이 늦어 죄송하다는 말과 함께, 통역에 응해주어 감사하지만 코로나 급증으로 인해 행사가 미뤄졌다는 식으로 일정을 잠정 연기하고 대화를 마무리하는 치밀함을 보인다. 결국 피해자는 정상적인 통역 의뢰 이메일로 믿고, 자신의 비밀번호가 외부에 노출된 것을 인지하기 어렵게 된다.
ESRC는 이번 비밀번호 탈취에 사용된 해외 거점(accounts.nidnavercorp.cloudns[.]nz) 주소가 작년 12월에 이미 ‘블록체인협회를 사칭한 공격’과 ‘미국 국무부의 한반도 평화 달성을 위한 북한과의 외교 전념 언론 보도로 위장한 공격’ 사례와 정확히 일치한다고 밝혔다.
특히, 이번 전자문서로 위장한 사이트로 암호가 유출될 경우 사용자를 속이기 위한 목적으로 정상 워드 DOC 문서 파일이 다운로드 되는데 이와 유사한 파일 중 실제 악성코드가 확인됐고, 기존 북한 연계 해킹 조직이 사용하던 매크로 코드와 감염 수법이 100% 동일한 것으로 분석됐다. 더불어 공격자가 과거부터 꾸준히 사용하던 고유 아이디 ‘zhaozhongcheng’, ‘Venus.H’, ‘Naeil_영문시작’ 등이 이번에 모두 발견됐다. ‘zhaozhongcheng’ 계정은 지난 2019년 ‘김민관 부부장 토론문.hwp’ 악성 파일에서 사용됐고, ‘Venus.H’ 계정의 경우 이미 2019년 ‘북한의 회색지대 전략과 대응방안.hwp’ 악성 파일에서 발견된 바 있는데, 모두 北 배후 소행으로 분류된 침해 지표들이다.
▲DOC 문서에 포함된 공격자 고유 아이디 화면[자료=이스트시큐리티]
해당 사이버 안보위협 조직은 그동안 주로 외교·안보·국방·통일 및 대북 분야 종사자를 상대로 사이버 작전을 전개해 왔는데, 이번처럼 국제 통역사를 집중적으로 공격한 경우는 이전까지 전혀 보고된 바 없었기에 이들의 의도를 명백히 파악하는데 역량을 집중하고 있다.
이스트시큐리티 ESRC 센터장 문종현 이사는 “동시 통역사들이 외교·안보·국방·통일 분야 국제 컨퍼런스나 다양한 정부 행사에 직접 참여하는 경우도 있어, 北 연계 위협 조직들이 이점을 노린 가능성과 주요 인물에 접근하기 위한 사전 초기 침투 과정일 수 있다”라며, “평소 보지 못했던 발신자나 뜬금없이 도착한 이메일은 항상 주의하는 것이 안전하다”고 당부했다.
한편, 이스트시큐리티는 이와 관련된 악성파일을 알약(ALYac) 백신 프로그램에 업데이트를 완료하고, 사이버 위협 정보를 한국인터넷진흥원(KISA) 등 관계당국과 긴밀히 공유해 기존에 알려진 위협이 확산되지 않도록 협력을 유지하고 있다고 밝혔다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
