北 해커조직 ‘김수키’, 거래소로 위장해 악성코드 유포

안랩 제공

북한 해커 조직 ‘김수키’(Kimsuky)가 최근 코인 거래소 및 투자와 관련된 내용으로 위장한 악성 코드를 유포 중인 것으로 파악됐다.

20일 안랩에 따르면 코인 관련 내용으로 위장한 악성 코드가 실행 파일 및 워드 문서 형식으로 유포되고 있어 주의가 요구되고 있다.

유포된 파일명은 ‘위**월렛 자금 자동 인출.docx’ ‘위**팀-월렛해킹 공통점.docx’ ‘20230717_030190045911.pdf’ 등이다. 이들 문서는 아이콘이 워드나 PDF 파일 형태를 띠고 있어 마치 정상 문서처럼 보이도록 했다고 안랩은 설명했다.

파일을 열어 보면 코인 거래소를 칭하거나 자산 보고서 형식을 취하고 있다. 하지만 실제 그 안에는 악성 URL에 존재하는 스크립트 코드가 실행되도록 하고 있어 사용자의 개인 정보가 유출될 위험이 있다.

안랩 관계자는 "이 악성 코드는 사용자 에이전트(User-Agent)로 크롬(Chrome)이 아닌 크놈(Chnome)을 사용하고 있어, 북한의 김수키 그룹이 제작한 것으로 추정된다"고 말했다.

안랩 측은 사용자 정보 유출과 추가 악성 코드 내려받기 등 다양한 악성 행위가 수행될 수 있어 사용자의 각별한 주의가 필요하다고 당부했다.

최준영 기자