북한 연계 해킹조직, 이미지로도 악성코드 숨겼다

APT37, 압축파일·JPEG 위장해 백신 회피…정상문서처럼 조작

(서울=연합뉴스) 박형빈 기자 = 북한 연계 해킹 조직 'APT37'이 악성코드를 이미지 파일에 숨겨 유포하는 등 다양한 방식의 사이버 공격을 벌이고 있는 것으로 나타났다.

4일 사이버 보안 기업 지니언스의 위험분석보고서에 따르면 APT는 최근 악성 바로가기(.lnk) 파일과 '스테가노그래피'(Steganography) 등을 활용한 공격 기법을 사용하고 있다.

바로가기 파일을 통한 공격은 '국가정보와 방첩 원고.zip' 압축 파일을 통해 유포됐는데, 내부에는 '국가정보와 방첩 원고.Ink' 이름의 파일이 포함돼있었다.

이 파일 크기는 약 54MB로 코드 내부에 미끼용 정상 문서와 함께 악성코드 셸 코드 등을 은닉하고 있어 비정상적으로 컸다.

사용자가 해당 압축파일을 열고 파일을 실행하면 외부에서 정보 탈취 기능을 지닌 악성코드가 내려받아 실행된다.

다른 공격에서는 악성 코드를 이미지 파일 등에 숨겨 전달하는 스테가노그래피 방식이 확인됐다.

JPEG 이미지 포맷 내부에 악성코드를 은닉해 둔 것으로, 이런 최신 변종은 일반적인 백신이나 시스템만으로는 탐지와 대응이 어려울 정도로 고도화된 것으로 전해졌다.

지니언스는 "만약 이메일 첨부파일이나 SNS 등의 메신저로 받은 압축파일 내부에 바로가기 파일이 있다면 십중팔구 악성코드일 가능성이 높다"며 "보안 책임자는 최신 위협의 유입 과정과 파일 확장자 개념, 아이콘의 고유 특징 등을 이해할 필요가 있다"고 당부했다.

binzz@yna.co.kr

▶제보는 카톡 okjebo

IT/과학