북한 라자루스 의심…워터링홀 공격 상반기 수차례 감행

피싱 메일·기업 협박까지 확산…최신 보안 업데이트 당부

[백수진 제작] 사진합성·일러스트

(서울=연합뉴스) 권하영 기자 = 북한 등 국가의 지원을 받는 것으로 알려진 해킹조직이 채용·기부를 가장한 피싱 메일과 뉴스·병원 사이트를 악용한 워터링홀 공격을 병행하며 국민과 기업을 노리고 있다는 정부 합동 사이버보안 경고가 나왔다.

특히 이용자가 자주 찾는 사이트에 접속하는 것만으로도 구버전 보안프로그램의 취약점을 통해 악성코드에 감염될 수 있는 사례가 확인됐다.

보안업계에서는 올해 상반기 수차례 발생한 이번 공격이 북한 배후 해킹조직 '라자루스'의 소행일 가능성에 무게를 두고 있다.

◇ 뉴스 사이트 접속만 해도 감염…피싱·워터링홀 동시 확산

30일 정부와 보안 업계에 따르면 국정원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원은 안랩·에스투더블유·엔키화이트햇·플레인비트 등 민간 보안기업과 함께 최근 '합동 사이버보안 권고문'을 공유했다.

해킹조직의 주된 공격 경로 중 하나는 사회공학적 기법을 활용한 해킹 메일이다. 조직은 채용 지원이나 기부 제안 등을 가장해 수신자의 관심을 끌 만한 내용의 메일을 발송한다.

이력서를 첨부파일 대신 링크 형태로 본문에 삽입하는 수법도 확인됐다. 해당 링크는 해킹조직이 미리 개설하거나 탈취한 블로그·깃허브 사이트로 연결되며, 연결만으로도 오래된 보안프로그램의 취약점을 통해 악성코드에 감염된다.

악성 첨부파일을 직접 심는 방식도 병행된다. '고연봉 일자리 제안' 등 그럴듯한 채용 제안으로 위장해 첨부파일을 열도록 유도하며, 실제 헤드헌터 계정을 탈취해 발신인을 속이는 사례도 포착됐다.

[합동 사이버보안 권고문 캡처. 재판매 및 DB 금지]

또 다른 공격 방식은 워터링홀이다. 사용자가 자주 찾는 뉴스·병원 사이트 등을 미리 해킹한 뒤 악성코드를 심어두는 방식으로, 해당 사이트에 접속하기만 해도 PC에 설치된 구버전 보안프로그램을 통해 악성코드가 자동 설치된다.

최근 워터링홀 수법은 악성코드를 은닉하거나 웹사이트 소스코드를 직접 변조하는 방식으로 고도화되고 있어 보안관제를 통한 탐지도 어려워지고 있다고 권고문은 밝혔다. 전자서명·보안인증·키보드보안 프로그램 등 최신 버전이 아닌 보안소프트웨어가 설치돼 있을 경우 감염 위험은 한층 커진다.

국가배후 해킹에 정통한 보안 업계 전문가는 "북한 배후 라자루스 추정 소행으로 의심된다"며 "올해 상반기 워터링홀 공격이 여러 차례 감행된 것으로 알고 있다"고 말했다.

◇ 계정정보 탈취부터 기업 협박까지…피해 확산 우려

악성코드에 감염되면 브라우저에 저장된 계정·비밀번호·카드번호가 즉각 유출되고, PC의 문서·사진·연락처와 메신저 대화 내용도 빠져나간다.

감염된 PC를 발판 삼아 같은 네트워크에 연결된 주변 PC로 악성코드가 연쇄 확산할 수도 있다.

기업의 경우 소스코드·내부 문서·고객 및 인사정보·영업비밀 등을 빼돌린 뒤 이를 빌미로 금전을 요구하는 협박으로 이어질 수 있어 각별한 주의가 요구된다.

권고문은 개인 사용자에게 모든 소프트웨어를 최신 버전으로 업데이트하고, 중요 계정에는 2단계 인증을 활성화하며, 출처 불명의 메일 첨부파일과 링크는 열지 말 것을 당부하고 있다.

기업 보안 담당자에게는 소프트웨어 일괄 점검과 네트워크 분리, 다중 인증(MFA) 도입, 정기 보안 교육 등을 권고했다.

kwonhy@yna.co.kr