최근 국내 금융기관을 겨냥한 해킹 공격의 배후로 중국계 해킹 조직이 연루됐을 가능성이 제기됐다.
9일 국내 보안업체 로그프레소에 따르면 미국 보안업체 크라우드스트라이크가 앞서 특정한 해킹 용의자가 중국계 디도스(DDoS·분산서비스거부) 공격 대행 조직 '갓넷(GodNet)·비타스(VITAS)'에서 활동한 정황이 확인됐다.
앞서 크라우드스트라이크는 지난달 말부터 이달 초까지 한국 금융기관을 겨냥한 공격에 중국산 인공지능(AI) 침투테스트 도구 '아르텍스(ARTEX)'와 딥시크 등이 활용됐다고 분석했다.
공격자가 AI 코딩 도구 '클로드 코드'로 보안 연구자 이력서 작성을 요청하는 과정에서 이름 이니셜과 텔레그램 계정, 거주지 등이 노출되면서 중국 광둥성에 거주하는 26세 인물이 용의자로 지목됐다.
다만 해당 인물은 자신의 휴대전화 번호가 도용됐다며 해킹과 무관하다는 입장을 밝힌 것으로 전해졌다.
로그프레소는 텔레그램과 깃허브, 다크웹에 유출된 인증정보 등을 교차 분석한 결과, 용의자로 지목된 'YY520CN' 계정이 갓넷·비타스 조직에서 회원을 관리하는 '커뮤니티 감독관'으로 활동한 정황을 확인했다고 밝혔다.
갓넷·비타스는 텔레그램에서 '상제(上帝) 사회'라는 커뮤니티를 운영하며 디도스 공격을 대행해온 중국계 해킹 조직이다.
로그프레소는 같은 조직 구성원인 'HangHang2017' 계정이 2023년 정보탈취형 악성코드인 '인포스틸러'에 감염되면서 남긴 흔적도 분석했다. 이를 통해 해당 계정과 연결된 이메일 주소와 도메인 등 추가 단서를 확보했다.
로그프레소는 확보한 정보를 클라우드 사업자의 가입 정보와 대조하면 HangHang2017 계정의 실제 운영자를 확인하고, 이를 바탕으로 YY520CN의 신원도 교차 검증할 수 있을 것으로 내다봤다.
아울러 금융기관에 외부에서 접근할 수 있는 시스템을 모두 점검하고, 로그인 이후 접근 권한과 비정상적인 반복 조회 행위에 대한 관리도 강화해야 한다고 조언했다.