KTV 출연 섭외 위장한 악성 문서 전파.."北 소행 의심"

유튜브 KTV 프로그램 출연 문의로 위장한 악성 HWP 문서화면. 이스트시큐리티 제공

이스트시큐리티는 북한 연계 해커 단체가 유포한 것으로 추정되는 악성 한글 문서파일(HWP)이 발견됐다고 23일 밝혔다.

이스트시큐리티에 따르면 해당 문서는 문화체육관광부 산하 한국정책방송원(KTV)의 유튜브 방송 출연 섭외로 위장했으며 대북 분야 전문가를 대상으로 전파됐다. 이 문서는 실행될 때 '상위 버전에서 작성한 문서입니다'라는 메시지 창이 뜨며 이용자들의 클릭을 유도한다. 이 창에는 악성 OLE(개체 연결 삽입) 명령이 들어있다. 버튼을 누르면 북한 연계 해킹 조직이 주로 사용하는 C2 서버 주소에 통신을 시도한다.

회사 측은 북한 연계 해킹 조직인 '금성121'이 배후에 있다고 분석했다. 러시아 얀덱스 이메일을 사용하고 해외 클라우드 서비스에 탈취한 개인정보를 보관한다는 점에서다.

이스트시큐리티는 최근 HWP OLE 기반의 지능형지속위협(APT) 공격이 눈에 띄게 증가하고 있다며 별도의 메시지 창 클릭 안내 화면을 볼 때 주의할 것을 당부했다. 아울러 문서보안 수준을 '높음' 상태로 유지하도록 사용자들에게 제안했다.

문종현 이스트시큐리티 시큐리티대응센터장 이사는 "북한 소행으로 판단되는 사이버 안보 위협은 멈출 기미가 보이지 않는다"며 "해킹 대상자를 현혹하기 위한 수법도 진화를 거듭하는 만큼 민관 공조 강화가 무엇보다 중요하다"라고 말했다.

유선희기자 view@dt.co.kr