- 미국은 2015년 법 제정해 해킹 피해사실과 수법, 예방조치 공개하고 있어

- 미 법무부가 기소한 北해커 사건 역시 배후와 수법 신속하게 공개해 추가 피해 막아

- 국정원, 북한 포함한 해킹 매일 158만건 발생한다 보고하고도 해킹수법은 공개 거부

① 美 포함 전 세계 대상 해킹 공격의 배후는 “북한 정부”

“이 합동기술경보(joint Technical Alert)는 미국 국토안보부(Department of Homeland Security, DHS)와 연방수사국(Federal Bureau of Investigation, FBI)의 공동 분석 노력의 결과이다.

이 경보는 북한 정부의 사이버 행위자가 미국과 전 세계의 언론, 항공우주, 금융 및 핵심 인프라 산업을 공략하기 위해 사용하는 도구와 인프라에 대한 기술적 세부사항을 제공한다.”

② 北이 범죄에 사용한 해킹수법 공개

“국토안보부와 연방수사국은 네트워크 방어 활동을 활성화하고 디도스 명령 및 제어 네트워크에 노출되는 상황을 줄이기 위해 북한 사이버 작전에 이용되는 IP 주소를 공개한다.”

③ 北해킹범죄조직의 그간 활동 동향과 향후 행보 평가

“2009년 이후 히든 코브라 행위자들은 기술 역량을 이용해 다양한 공격 대상에게 피해를 입혔다. 상업 기관의 보고서에서는 이 활동을 라자루스 그룹(Lazarus Group)과 평화의 수호자(Guardians of Peace)라는 명칭으로 언급했다.

국토안보부와 연방수사국은 히든 코브라 행위자들이 북한 정부의 군사적․전략적 목표를 진전시키기 위해 사이버 작전을 계속 수행할 것이라고 평가한다.”

□ 하의원이 18일 ‘해킹피해 예방을 위한 북한 등 해킹수법 정보공개법’을 발의했다. 北해킹정보공개법은 국가정보원법을 개정한 것으로 북한 등의 해킹범죄 수법과 예방대책 등의 정보를 국회와 국민에 의무적으로 공개토록 하는 내용을 담고 있다.

□ 이 법은 2015년 제정된 미국 「사이버안보 정보공유법」의 실제 적용 사례에서 모티브를 얻었다. 미국은 법 제정 이후 정부부처 간 합동경보를 발령하거나 보고서를 작성하는 형식으로 해킹범죄 수법과 예방조치를 적시에 국민들에게 공개하고 있다.

□ 최근 미 법무부가 전 세계 은행을 대상으로 1조4천여억원을 탈취한 혐의로 북한 해커 3명을 기소한 해킹범죄 역시 지난 2017년 6월 범죄 배후와 수법이 공개된 바 있다. 당시 미 국토안보부는 FBI와 공동으로 경보를 발령하고 북한의 해킹 조직 히든코브라를 배후로 지목했다. 북한이 슬로베니아 가상화폐거래소와 세계 각국 은행을 대상으로 해킹범죄를 감행하고 한 달 가량 된 시점이었다. 또 같은 수법으로 인한 피해가 발생하지 않도록 범죄에 사용된 IP주소와 악성코드 분석 보고서를 공개하기도 했다. [참조 1]

□ 미국은 이 경보 보고서에서 해킹 조직이 북한 정부의 군사, 전략적 목표 진전을 위해 작전을 계속 수행할 것이라고 평가하고 지속적인 추적에 나섰다. 그 결과 2017년 12월에는 호주, 캐나다, 뉴질랜드, 영국과 함께 해당 해킹범죄의 배후 국가로 북한을 공식 지목, 규탄했다.

□ 지난 16일 국가정보원도 국회 정보위원회에서 우리나라 공공부문에 대한 북한 등의 해킹공격이 하루 158만건에 달하며 이는 전년 대비 32% 증가한 수치라고 보고했다. 이미 셀트리온 등 국내 제약회사와 업비트 등 암호화폐 거래소에 대한 해킹공격이 북한의 소행으로 확인되기도 했다. 하지만 원은 외부세력의 구체적인 해킹수법 공개를 거부하고 특히 화이자 공격 등 북한의 명백한 해킹 사실에 대해서는 사실관계조차 확인해주지 않고 있다.

□ 하의원은 “해킹피해 예방을 위해서는 해킹수법과 방지대책 등을 적시에 공개하는 것이 최선”인데도 “우리나라 사이버 안보를 총괄하는 국정원은 그 책임을 회피하고 북한 해킹 관련 정보를 숨기는 데만 급급하다”고 지적했다. 이어 “북한 등 외부세력의 해킹정보가 낱낱이 공개된다면 범죄피해를 예방하고 국민의 안전과 재산을 지키는데 큰 도움이 될 것”이라며 법안 발의 배경을 설명했다.

https://blogattach.naver.net/148108bbaff3f02c00e780b58f64176cca9d6589fd/20210219_88_blogfile/radiohaha_1613692084606_6hIv4a_hwp/%5B%BA%B8%B5%B5%C0%DA%B7%E1_210219%5D%20%C7%CF%C5%C2%B0%E6,%20%A1%B0%C7%D8%C5%B7%C7%C7%C7%D8%20%BF%B9%B9%E6%C0%A7%C7%D1%20%B1%B9%C1%A4%BF%F8%20%C1%A4%BA%B8%B0%F8%C0%AF%20%C0%C7%B9%AB%C8%AD%C7%D1%B4%D9%A1%A6%20%DD%C1%C7%D8%C5%B7%C1%A4%BA%B8%B0%F8%B0%B3%B9%FD%20%B9%DF%C0%C7%A1%B1.hwp?type=attachment

“해킹피해 예방위한 국정원 정보공유 의무화한다… 北해킹정보공개법 발의 하태경의원실 보도자료 

[참조 1] 美기소 북한해커의 범죄의 배후‧수법 공개한 2017.6.13. 합동경보 보고서

[참조 2] ‘해킹피해 예방을 위한 북한 등 해킹수법 정보공개법’(국가정보원법 개정안) 원문과 공동발의 의원 명단

[참조 1] 美기소 북한해커의 범죄의 배후‧수법 공개한 2017.6.13. 합동경보 보고서

- 美 국토안보부 산하 사이버안보기간시설안보국(CISA) 홈페이지

[ IntelligenceSecurityCERT 북한 이슈 인터뷰/제보/분석 내용]

북 추정 해커, 휴대폰 번호 탈취 후 카톡 계정 도용해 악성코드 유포 
카카오톡과 네이버 계정 탈취 노린 피싱 사이트, 지속적으로 탐지
가상화폐 노린 계정 정보 탈취와 탈북자 타깃 카톡 공격도 포착

[보안뉴스 김경애 기자] 북한 추정 해커들이 카카오톡 등 SNS를 활용해 다각도의 사이버공격을 감행하고 있다. 카카오톡과 페이스북 등 계정을 도용해 PC 메신저 이용자 대상으로 문서 파일을 전송해 악성코드 감염을 유도하고 있는 정황이 포착돼 이용자들의 각별한 주의가 필요하다.

6일 보안업계에 따르면 북한 추정 해커가 다양한 방법으로 휴대폰 번호를 입수해 카카오톡에 등록한 후, 프로필 사진과 이름을 도용하고 있으며 도용한 계정으로 지인들에게 접근해서 카카오톡 PC 메신저를 대상으로 문서 파일을 보내서 악성코드를 감염시키고 있다. 

또 다른 보안업체는 카카오톡이나 네이버 계정 탈취 등을 노린 피싱사이트가 지속적으로 탐지되고 있다고 밝혔다. 이를 바탕으로 가상화폐 거래소의 계정 탈취 및 도용을 시도하고 있을 가능성이 높다는 것이다. 

이에 대해 익명의 보안전문가는 “가상화폐 거래소에서 일반적으로 추가 인증을 받고 있는데, 여기에는 메일 계정, 카카오톡 계정 인증, 계좌 인증 등을 요구하고 있어 이러한 인증을 뚫기 위해 피싱사이트를 유포할 가능성도 있다”고 예측했다.

보안연구 그룹인 모의침투연구회 관계자는 “카카오톡 계정 도용을 통해 다른 사람들에게 시도한 공격이 성공하면, 악성파일 뿐만 아니라 링크를 첨부로 위장한 사이트나 구글 URL 단축 기능을 이용해 또 다른 공격을 시도하기도 한다”며 “연결고리 형태로 계속 정보를 탈취할 것”이라고 우려했다. 

이와 함께 탈북자를 노린 카카오톡 공격도 지속적으로 탐지되고 있는 것으로 알려졌다. 본지에서 보도한 것처럼 뉴스 기사를 미끼로 단축 URL을 전송하거나 북한관련 앱 다운을 유도하는 방법 등으로 지인을 가장한 SNS 공격에 공을 들이고 있는 상황이다. 이로 인해 SNS 계정관리가 더욱 중요해질 것으로 보인다. 

따라서 이용자는 카카오톡에서 지인이 메시지를 전송하거나 말을 걸면 지인이 맞는지 확인과정을 거치는 것이 바람직하다. 특히, 계정 도용의 경우 이용자의 사진과 이름이 똑같기 때문에 지인이 정말 맞는지 추가적으로 확인할 필요가 있다. 
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

http://www.boannews.com/media/view.asp?idx=58445

IntelligenceSecurityCERT

[ IntelligenceSecurityCERT 북한 이슈 인터뷰/제보/분석 내용] DDE 공격 북 추정 해커, 이번엔 OLE 악용해 공격

북한 추정 해커 : DDE, OLE, EPS, 고스트스크립트 등 기능 악용
워드나 한글 문서 파일에 기능 접목...악성파일 심어 이메일 통해 유포

[보안뉴스 김경애 기자] 북한 추정 사이버공격이 줄줄이 포착되고 있어 인터넷 이용자들의 각별한 주의가 필요하다. 해커는 DDE(Dynamic Data Exchange), EPS(Encapsulated Postscript), 고스트스크립트(Ghostscript), OLE(Object Linking and Embedding)와 같은 프로그램 기능을 워드문서나 한글문서에 악용해 악성파일로 만들었다. 이 악성파일은 이메일로 유포되며 곳곳에서 탐지되고 있다. 이에 따라 이메일 열람시 각별한 주의가 필요하다. 

[이미지=한국인터넷진흥원]

이와 관련해 본지는 지난 1일 DDE 기능을 이용한 공격에 대해 보도한 바 있다. 이 공격은 MS 워드 문서에 DDE 기능을 이용해 악성코드에 감염되도록 하고 있다. 그런데 이 기능을 이용한 공격과 함께 다른 기능을 악용한 악성파일이 지난 3월부터 최근까지 지속적으로 발견되고 있다. 

모의침투연구회에서 북한 사이버공격을 지속적으로 연구한 한 관계자는 “탈북자를 대상으로 DDE 기능과 악성 쉘 스크립트를 사용한 워드 DOC 파일 문서와 한글 악성파일이 모니터링을 통해 발견됐다”며 “기존에 발견된 악성파일에서 제목과 발신자만 다를 뿐 파월셀 악성 스크립트 등은 모두 동일하며, 3월 27일, 6월 23일, 10월 26일 총 3번의 공격 시도가 있었다”고 밝혔다. 

그런데 동일 공격자인 북한 추정의 해커가 워드 문서에 이어 한글 문서인 HWP 파일에 OLE(Object Linking and Embedding) 기능을 악용해 공격한 정황도 포착됐다. 

이메일을 통해 유포된 한글 악성파일에는 ‘그 동안 여러 단체장님들과 애국시민님들의 헌신적인 노력으로 미흡한대로 북한인권법이 통과 되었다’며, ‘시행령 제정 및 북한인권재단 설립작업도 마무리 됐으니 단체장 연석회의를 열고 논의하자’는 내용이 담겨 있다.

이 악성파일은 지난 1일 발견됐으며, 한글문서에 OLE 기능을 악용해 정보수집용 악성코드를 넣어 악의적인 행위를 실행하도록 만들었다. 

OLE 기능은 MS 워드나 한글 문서 등과 같이 OLE가 지원되는 그래픽 프로그램에서 그림 등을 삽입할 수 있다. 이와 관련해 한 보안전문가는 “객체 삽입도 원래 있는 기능으로, 문서나 동영상 등을 넣을 수 있다”며 “공격자는 악성코드를 삽입해 사용자 클릭을 유도한다. 이는 과거에도 여러차례 발생한 이슈이며, 여기에는 사회공학적 기법이 사용된다”고 분석했다. 

▲이메일로 유포된 북한 추정의 악성파일[이미지=보안뉴스 입수]

이 뿐만 아니다. 북한 추정 해커는 안보 단체, 북한 인권 운동가, 북한 내용을 다루고 있는 기자, 탈북자 등 특정인을 타깃으로 한 APT 공격도 감행하고 있다. 이들을 대상으로 이메일에 악성파일을 첨부해 악성코드 감염을 유도하고 있다. 그중 한글 악성 파일의 경우 EPS와 고스트스크립트(Ghostscript) 기능을 악용한 정황이 포착됐다.

한 보안전문가는 “해커가 탈북자 등을 타깃으로 공격방식을 바꾼 것으로 보인다. EPS 취약점을 악용해 한글 내 문서에 문제가 있는 것처럼 창 모양 이미지를 넣어두고 사용자가 에러창으로 인식하게 해 클릭을 유도한다”며, “EPS 취약점 가지고 있는 문서는 사용자가 문서 읽는다고 내리면 실행된다. 이와 관련해서는 이미 2016년 한글과 컴퓨터 측에서 업데이트하며 기능을 빼버려 패치된 상태이며, 취약점 자체도 CVE-2015-2545”라고 설명했다. 이는 악성파일 감염자가 취약점이 패치되기 이전의 낮은 버전을 사용하고 있었다는 얘기다. 

▲이메일로 유포된 북한 추정의 악성파일[이미지=보안뉴스]

이어 지난해 12월 ‘김일성 평전’이라는 제목으로 칼럼을 작성한 한 기자에게도 APT 공격을 감행한 정황이 포착됐다. 첨부파일로 위장한 악성파일의 제목은 ‘김일성의 실체’라고 해서 수신을 유도하는 등 사전조사를 통해 정보를 수집한 후 사회공학적 수법을 이용하는 등 주도면밀하게 공격했다. 

해커는 문재인 정권의 친북 좌파 정책으로 해산됐지만 북한 독재를 무너뜨리기 위한 활동을 계속하고 있다는 문구와 함께 84.52MB 크기의 ‘김일성의 실체.zip’ 대용량 파일 1개를 첨부했다. 해당 파일은 100회 다운로드가 가능하다고 소개하며 10월 18일까지 30일 보관된다는 문구가 포함돼 있다. 

이처럼 북한 추정의 악성파일 유포가 지속적으로 발견되고 있는 만큼 각별한 주의가 필요하다. 

이와 관련해 한국인터넷진흥원 측은 “최근 MS오피스 DDE 기능 등을 이용한 악성코드 유포 사례(악성 이메일 발송)가 확인되고 있다”며 “보안담당자는 첨부 파일이 포함된 메일에 대한 검사를 강화하고, 출처가 불분명한 메일은 삭제 또는 스팸 처리하거나 118사이버민원센터로 신고해줄 것”을 당부했다. 

[이미지=한국인터넷진흥원]

MS 오피스의 DDE 기능을 사용하지 않을 경우 해제 방법(Office word 2013 기준)은 ①MS워드 실행 → ②메뉴에서 파일 선택 → ③옵션 → ④고급 → ⑤일반 → ⑥‘문서를 열 때 자동 연결 업데이트’ 체크 해제를 통해 피해를 예방할 수 있다. 
[김경애 기자(boan3@boannews.com)] http://www.boannews.com/media/view.asp?idx=57828

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

IntelligenceSecurityCERT