北 김수키가 CJ올리브넷 해킹?…"위장된 클라우드·메일 수법"

"북 해커, 챗GPT 덕에 말투 자연스러워져…국내 제조·방산 타깃"
미끼파일 열면 악성 웹페이지…"꾸준한 SW 업데이트만이 살길"

ⓒ News1 DB

(서울=뉴스1) 윤주영 기자 = 최근 CJ올리브네트웍스의 디지털 서명 파일 유출 배후로 북한 정찰총국 산하 해킹그룹 '김수키'가 지목되면서, 제조·방산·금융뿐 아니라 정보기술(IT) 업계에서도 보안 대비를 철저히 해야 한다는 조언이 나온다.

특히 김수키는 조직 내 특정 담당자를 공략하는 '스피어피싱'이나, 가짜 업무 메일로 악성코드를 유포하는 등의 고도화한 전술을 쓴다.

9일 보안업계에 따르면 최근 중국 보안 기업 '레드드립팀'이 X(옛 트위터)에 공개한 북한발 추정 악성파일에는 CJ올리브네트웍스의 디지털 서명 파일이 확인된다.

이에 따르면 김수키는 탈취된 인증서를 악용해 국내 정부출연연구기관인 한국기계연구원을 공격할 것을 계획했다. 실제로 기계연에 따르면 기관 홈페이지를 제작해 주는 업체 플랜아이에서 의심 징후를 확인했다고 한다.

한국인터넷진흥원(KISA)은 이런 정황을 파악해 CJ올리브네트웍스에 전달했고, 회사는 유출된 인증서를 신속히 폐기했다. 기계연 역시 전산 보안 점검에 나섰다.

보안업계 관계자는 "다른 해킹그룹이 흔적을 지우고자 김수키로 위장했을 가능성이 있어 공격자를 예단하긴 어렵다"면서도 "그럼에도 국내 제조·방산업계를 중심으로 북한발 공격이 이어지고 있다. 챗GPT 도움으로 공격자 말투도 자연스러워지고 있어 다른 업계도 안심할 수 없는 상황"이라고 설명했다.

지니언스(263860)의 '김수키 그룹의 'BlueShark' 위협 전술 분석'에 따르면 김수키는 지난해 상반기 강연 의뢰, 특강, 인터뷰 질문지 등으로 위장된 첨부파일을 국내 기업에 유포하는 스피어피싱을 수행했다.

docx, pdf 등 확장자의 미끼 파일을 열면 피싱 사이트로 유도하는 웹페이지가 나타난다. 공유된 사례에서는 가짜 구글 계정 로그인 웹페이지가 사용됐다. 로그인까지 하면 악성 파일이 숨겨진 가짜 구글 드라이브로 접속된다.

이 관계자는 "특정 관리자의 PC를 공격 표면 삼아 악성코드가 내부로 침투할 수 있다. 이후 연결된 시스템을 오가며 광범위한 횡공격을 수행할 수 있다"고 설명했다.

이 밖에도 지니언스는 김수키가 포털 이메일 보안 담당자나 공공기관 문서 등을 사칭해 피싱 메일을 보낸다고 소개했다. 가짜 발신지로는 "국민비서.커뮤니티.한국" 등 한국어 도메인이 쓰이기도 했다.

피싱메일 역시 첨부된 압축파일로 악성코드를 배포하거나, 로그인을 유도해 관리자 계정 정보를 얻어내는 등에 쓰일 수 있다.

피해를 예방하려면 기업 실무자는 검증되지 않은 URL에 접속하거나 첨부파일을 열어선 안 된다. 또 MS 워드 등 업무 소프트웨어(SW)나 운영체제(OS)의 지속적인 업데이트를 통해 취약점을 최소화해야 한다.

이 관계자는 "보안 패치는 정말 치명적인 취약점 위주로 이뤄지기 때문에 미뤄선 안 된다"고 강조했다.

legomaster@news1.kr