북한 발 악성코드... 이젠 자료실서 '시력 보호 프로그램'으로 위장
2020-06-23 16:26
한국 내 유명 인터넷 커뮤니티 자료실에 은밀히 악성코드를 숨겨 유포
이스트시큐리티가 지난 6월 22일 오전 한국의 특정 인터넷 포럼 자료실을 통해 마치 유용한 프로그램처럼 위장한 악성 파일이 불특정 다수에게 무차별 유포되었다고 23일 밝혔다.
해당 악성 파일이 포함된 게시물은 22일 오전 8시 49분경 등록되었고, 당일 기준 약 1600여명이 조회한 것으로 확인되었다. 악성 파일은 '시력 보호 프로그램'을 사칭하고 있으며, 23일 오전 기준 게시물은 삭제된 상태다.
만약 해당 자료실에 등록된 프로그램을 다운로드해 실행하게 될 경우, 자신도 모르게 악성 프로그램에 감염돼 잠재적인 사이버 위협에 노출될 우려가 있다.
아울러 이번 악성 파일을 심층 분석한 결과, 북한 정부가 배후로 지목된 일명 '라자루스(Lazarus)' 그룹의 소행으로 조사되었다. 이들은 美 재무부로부터 제재 대상인 해킹 조직으로 미국에선 '히든 코브라'라는 이름으로도 통용되며, 최근까지 국내외에서 매우 활발한 사이버 위협 활동을 펼치고 있는 것으로 악명높다.
국내는 주로 비트코인 등 암호 화폐 거래 관계자를 표적으로 삼고 있고, 해외는 항공 및 군 관련 방위산업체 분야를 주요 공격대상으로 위협 활동을 펼치는 특징이 있다.
또한 △'블록체인 소프트웨어 개발 계약서' △'비트코인 투자 카페 강퇴&활동정지' △'국내 비트코인 거래소 지원서 사칭', △'부동산 투자문건 사칭 등도 이번 위협의 연장선으로 조사됐다.
특히 이번 악성 파일은 정상적인 실행 프로그램 중간에 Base64로 인코딩된 악성코드를 강제 삽입해 설치 과정 중 마치 임시 파일이 생성되는 것처럼 보이도록 만든 특징도 가지고 있다.
문종현 이스트시큐리티 ESRC센터장(이사)는 "라자루스 조직원들이 스피어 피싱 기반 APT 공격뿐만 아니라, 유명 인터넷 커뮤니티 자료실에 악성 파일을 심는 과감한 공격 전술을 구사하고 있어 커뮤니티 이용자의 각별한 주의가 요구된다. 또한 이 악성 파일은 이스트시큐리티에서 올해 상반기 공개했던 라자루스 공격 관련 여러 악성 파일과 코드 유사성이 거의 일치한다"고 설명했다.
현재 이스트시큐리티는 자사 백신 프로그램 알약에 이번 악성 파일을 탐지·차단할 수 있도록 긴급 업데이트를 완료했으며, 이와 동시에 피해 방지를 위해 관련 부처와 긴밀한 대응 공조 체제도 가동하고 있다.