북한 해킹조직, 국내 웹사이트도 통신 거점으로 악용했나

산부인과학회·언론사·건설사 주소, 라자루스 침해지표에 포함

(서울=연합뉴스) 오지은 기자 = 북한 연계 해킹조직 라자루스가 국내 기업을 겨냥한 사이버 공격 과정에서 산부인과학회와 언론사, 건설사 등 정상적인 웹사이트를 악성코드 통신 거점으로 활용했을 가능성이 제기됐다.

글로벌 보안업체 카스퍼스키가 공개한 보고서에서 대한산부인과학회 홈페이지를 비롯한 국내 여러 웹사이트의 주소가 라자루스 악성코드의 명령제어(C2) 통신 주소를 나타내는 침해지표(IOC)에 포함된 것으로 나타났다.

다만 해당 웹사이트들이 실제로 어떤 방식으로 악용됐는지, 서버가 어느 범위까지 침해됐는지는 확인되지 않았다. 개인정보 유출 여부도 밝혀지지 않아 추가 조사가 필요한 상황이다.

◇ 산부인과학회 웹주소, 라자루스 악성코드 통신 거점으로 분류

1일 카스퍼스키가 공개한 '오퍼레이션 플래시홀' 보고서에 따르면 침해지표(IOC) 목록에 학회 홈페이지인 'ksog.org'의 하위 주소가 포함됐다.

학회 외에도 국내 언론사, 건설사, 안전 관리 기업, 인테리어 업체 등의 웹사이트가 침해 지표에 포함됐으며 이후 여러 업종의 웹사이트가 악용된 정황도 관찰했다고 카스퍼스키는 전했다.

카스퍼스키는 해당 주소를 악성코드 클라이언트허브의 C2로 분류했다.

침해지표는 사이버공격이 진행 중이거나 이미 침해가 발생했을 가능성을 보여주는 기술적 단서다.

보안 담당자는 이러한 정보를 시스템의 접속 기록 등과 대조해 공격과 관련된 흔적이 있는지 점검할 수 있다.

C2는 공격자가 감염된 컴퓨터에 명령은 전달하거나 정보를 주고받는 데 이용하는 통신 거점을 뜻한다.

감염된 컴퓨터가 지정된 주소에 접속해 지시를 받아 실행하고, 그 결과를 다시 보내는 방식으로 작동할 수 있다.

공격자는 이런 통신을 숨기기 위해 정상적인 웹서비스를 이용하기도 한다.

외형상 일반적인 웹사이트 접속과 비슷한 형태로 데이터를 주고받으면 정상 통신과 악성 통신을 구별하기 어려워질 수 있기 때문이다.

다만 보고서에는 학회 주소 등과 관련된 통신 기록이나 서버 침해 시점이 구체적으로 제시돼있지 않아 학회 서버의 침해 범위나 회원 개인정보 유출 여부는 확인할 수 없다.

◇ 라자루스, 가짜 이력서·포트폴리오로 국내 기업 공격…학회 측 조사 중

카스퍼스키는 플래시홀을 북한 라자루스가 국내 기업을 겨냥해 벌인 사이버 첩보 작전으로 분석했다.

연구진은 소프트웨어(SW)·건설·유선통신장비 제조 분야에서 최소 3개 조직이 영향을 받았으며 관련 공격 흔적은 지난해 7월로 거슬러 올라간다고 설명했다.

공격자들은 표적에 맞춰 제작한 가짜 이력서·포트폴리오 사이트의 링크를 이메일로 보내 접근한 것으로 분석됐다.

업무상 관심을 가질 만한 내용으로 수신자를 유인해 공격자가 준비한 사이트를 방문하도록 하는 방식이다.

카스퍼스키는 이 과정에서 국내에서 널리 사용되는 보안 프로그램 크로스웹 EX(CrossWeb EX)가 감염에 관여했을 가능성이 크다고 분석했다.

카스퍼스키는 이 과정에서 클라이언트허브 등 새 악성코드를 확인했으며 이들 도구가 감염 기기에서 명령을 실행하고 공격자와 통신하는 기능을 수행한다고 설명했다.

학회 측은 보안 업체에 해당 사실을 알리고 유출 여부 등을 확인 중이라고 전했다.

built@yna.co.kr

Source: Yonhap Korean · 오지은