대부분 공격, 북한 해킹그룹에 의해 진행
[데이터넷] 지난 대선 기간 중 북한 해킹그룹의 활동이 증가한 것으로 나타났다.
NSHC의 위협정보 분석팀 ‘쓰렛리콘(ThreatRecon)’이 발간한 북한 정부의 지원을 받아 활동하고 있는 해킹 그룹 ‘섹터A(SectorA)’에 대한 1분기 활동 분석 보고서에 따르면 이 기간 북한 해킹그룹의 활동이 활발하게 발생한 것으로 나타났다.
보고서에 따르면 섹터A는 6개의 하위 그룹이 활동하고 있으며, 한국과 관련된 정치·외교 정보를 수집하거나, 전 세계를 대상으로 한 금전적인 재화의 확보를 위한 해킹 활동을 수행한다. 스피어피싱 이메일 공격, 피싱 이메일 공격, 한글 파일(HWP)과 MS 워드(Word) 파일 형태의 악성코드 유포 등의 다양한 전략과 수법을 사용한다.
공격 대상은 외교, 정치 분야 종사자 뿐 아니라, 탈북 관련 인권단체 및 관련 종사자, 대학교에 근무하는 관계자, 그리고 부동산, 주식 및 가상화폐 등에 투자를 하고 있는 일반인들까지 확장되고 있다.
이들이 주로 사용하는 공격 방식은 HWP·워드 등 문서 프로그램을 통한 악성코드 배포로, 지난 2월 금융, 보험, 군수 산업에 속한 기업으로 위장, ‘사업제안서’, ‘채용’ 등의 주제를 활용한 MS 워드 형식의 악성코드를 유포하였다. 해당 악성코드는 정상적으로 실행될 경우 악의적인 매크로가 삽입되어 있어 추가 악성코드를 실행하고 시스템 권한을 탈취한다.
섹터A02 그룹과 섹터A05 그룹은 각각 대한민국의 대선과 관련된 주제와 대북과 관련된 제목으로 한 한글파일 형태의 악성코드를 유포하였다. 특히 섹터A05 그룹이 공공기관 종사자에게 전송한 스피어 피싱 이메일 본문에는 핵무장 관련 전문가 좌담회 관련한 MS 워드 파일 형식의 악성코드를 첨부했다고 한다. 첨부된 악성코드에는 악의적인 매크로 기능이 포함되어 있어 시스템의 주요 정보를 탈취하고 추가 악성코드를 다운로드 받아와 동작시킨다고 밝혔다.
섹터A05 그룹의 해킹 활동에서 발견된 문서 정보 관련 메타데이터와 C2 서버 주소는 해당 그룹이 지속해서 사용하고 있는 것으로 확인된다.
섹터A07 그룹은 지난 1월 러시아 정부 기관 및 외무부 관계자를 대상으로 스피어 피싱 메일을 전달했다. 이메일은 새로운 한 해를 축하한다는 본문 내용을 포함하고 있었으며, 첨부된 악성코드는 화면 보호기 파일로 정상적으로 실행될 경우 사용자에게 축하 메시지로 위장된 그림 파일을 보여주며 감염 사실을 숨기고 시스템 정보를 탈취하는 수법을 이용했다.
섹터A05 그룹은 공공기관 및 언론 분야 종사자를 대상으로 스피어 피싱 이메일을 전달했는데, 특히 언론사 직원에게 전송한 스피어 피싱 이메일에는 템플릿 인젝션을 사용하는 MS 워드 파일 형식의 악성코드가 포함되어 있었으며, 해당 악성코드는 실행 시 악의적인 매크로 기능에 의해 브라우저 계정 정보, 윈도우 계정 정보를 수집하는 것으로 밝혔다.
이외에도 섹터A03 그룹은 지난 3월 스피어 피싱 이메일을 활용하여 마카오에 위치한 호텔, 숙박업, 레스토랑 등 20개 업체에 대한 인사팀 관계자를 대상으로 공격을 수행하였다고 확인했다.
한편 쓰렛리콘팀은 피싱 메일 및 피싱 사이트를 이용한 해킹 공격에 관해서도 설명하였다.
섹터A02 그룹은 지난 1월 한국에 있는 대북 분야 종사자를 대상으로 공격을 수행했으며, 카드사 요금 명세서로 위장한 피싱 메일을 사용했다. 지난 3월에는 동일 그룹이 통일부 관계자로 위장하여 공격을 수행하였다. 이들은 피싱 웹사이트를 구축하여 정보를 수집했으며, 공격 대상이 관심을 가질 수 있도록 한글 파일 형태의 미끼 문서를 함께 사용했다.
섹터A06 그룹의 활동 반경은 우크라이나, 독일, 이스라엘, 오스트레일리아, 조지아, 미국, 이탈리아, 영국, 핀란드, 콜롬비아로, 손익계산서, 구직공고, 급여 등 관련된 주제로 위장한 바로가기(LNK) 파일을 사용하였다. 해당 그룹은 정부 기관에서 발송한 전자문서로 위장한 다수의 피싱 이메일을 공격에 활용하였다.
쓰렛리콘 팀은 전 세계 해커 그룹에 대한 동향 및 이들에 의해 유포되는 악성코드에 대한 분석 보고서를 수년째 제공하고 있다. 오는 6월 8일부터 6월 10일까지 국내 정보보안 전문가들을 대상으로 제2회 악성코드 분석 전문가 교육을 진행할 예정이다.
