북한 해커, '카드 명세서' 위장 악성메일 공격

파일 표시 영역 클릭 시 피싱 사이트로 연결..계정 정보 입력 시 유출

(지디넷코리아=김윤희 기자)국내 보안 기업 이스트시큐리티(대표 정상원)는 지난 11일 국내 신용카드사의 정상적인 요금 명세서처럼 위장한 악성메일을 발견했다고 밝혔다.

이스트시큐리티 시큐리티대응센터(ESRC)에 따르면, 위협 행위자는 특정 대북 분야 종사자를 겨냥해 해당 공격을 진행했으며, 사전에 수집한 여러 주변 정보를 활용해 생활 밀착형 표적 공격을 수행한 것으로 드러났다.

공격에 사용된 이메일을 살펴보면 마치 html 기반의 명세서 파일이 있는 것처럼 보이지만, 실제 첨부된 파일은 존재하지 않고, 해당 영역 클릭 시 악성 피싱 사이트로 연결돼 계정 정보 입력 시 외부로 유출되는 과정을 거친다.

해당 공격의 경우 특수하게 조작한 코드를 이메일에 넣어 첨부파일 영역에 마우스 커서가 접근해도 피싱 사이트가 바로 노출되지 않고, 정상적인 첨부파일 다운로드 주소가 나타나도록 치밀하게 제작됐다.

피싱 공격 발신지 IP 주소와 서비스, 명령제어(C2) 서버 등을 분석한 결과 북한식 표기법을 발견하는 등 공격 배후를 북한 해커로 추정했다.

연말연시 기간 중 발견된 최신 HWP 악성 문서 파일에 대해서도 주의를 요망했다. 주로 북한 내부 정보처럼 위장한 미끼 내용으로 수신자를 현혹했다.

악성 HWP 문서 파일이 열리면 ‘상위 버전에서 작성한 문서입니다.’라는 정상 안내 메시지와 동일하게 모방해 만든 가짜 문구를 띄우고, '확인' 버튼을 클릭 시 악성 배치 파일이 추가 작동하도록 만들었다.

문종현 ESRC 센터장 이사는 “신년 들어 사이버 위협 배후가 북한 소행으로 지목된 사례가 연일 발견되는 추세"라며 "올해는 대통령 선거 등 중요한 국가 행사나 일정이 많은 시기인 만큼 그 어느 때보다 사이버 안보 강화 노력이 중요한 시점”이라고 말했다.

김윤희 기자(kyh@zdnet.co.kr)