북한 배후 추정 해킹그룹 ‘김수키(Kimsuky)’와 ‘레드아이즈(RedEyes)’ 등이 한국의 정보지, 인사평가서 등으로 위장한 악성코드를 퍼트리고 있는 것으로 확인됐다.
2일 보안기업 안랩에 따르면 최근 확인된 악성코드 파일명은 △230407정보지 △2023년도 4월29일 세미나 △2023년도 개인평가 실시 △한국 핵무장 전문가 좌담회 △인터뷰 질의문 등이다. 사용자가 이러한 미끼 파일을 클릭하면 모니터에는 정상적으로 보이는 문서 파일이 열린다. 사용자가 해킹 행위를 알아차리지 못하게 하기 위해서다.
동시에 별도의 명령어를 담은 스크립트 파일이 실행된다. 해커가 숨겨둔 악성코드가 실행된다. 암호화된 악성코드는 사용자가 키보드를 이용해 입력한 결과를 저장해 해커에게 전송하는 역할을 한다. 내부망에 접속하는 아이디와 비밀번호를 가로채기 위한 수법이다. 주된 공격 대상은 신문사와 방송국, 대학교, 반도체 협력사, 싱크탱크 등인 것으로 확인됐다. 공격 대상이 아닌 사용자의 PC를 감염시킨 경우엔 활동을 하지 않고 스스로 삭제되기도 하면서 추적을 피했다.
안랩 측은 “북한 배후로 알려진 해킹 조직이 악성코드를 갈수록 다양한 형식의 파일로 만들어 유포하고 있다”며 “최근에는 사례비 양식이나 개인정보 양식으로도 위장해 퍼지는 만큼 첨부파일 실행에 유의하고 사용 중인 백신 프로그램을 항상 최신 버전으로 업데이트 해야 한다”고 조언했다.
김진원 기자