한글문서 열었더니 감염…북한 해킹 '아르테미스 작전' 포착 작성일 12-22 36 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="VRnWJQ4qHZ"> <figure class="figure_frm origin_fig" contents-hash="5194f3782b23863a395eed3c8b3c5c04815444aba796cb63c653793265301c71" dmcf-pid="feLYix8B1X" dmcf-ptype="figure"> <p class="link_figure"><img alt="공격 시나리오 [지니언스 제공. 재판매 및 DB 금지]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/22/newsy/20251222114038175jbco.jpg" data-org-width="420" dmcf-mid="2teSM49U55" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/22/newsy/20251222114038175jbco.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 공격 시나리오 [지니언스 제공. 재판매 및 DB 금지] </figcaption> </figure> <p contents-hash="50f27dcc041dae3e67c64ab14800b71e436b2cd494de44f25e8b4851bf90fc01" dmcf-pid="4doGnM6bGH" dmcf-ptype="general">북한과 연계된 APT37 해킹그룹이 한글(HWP) 문서 내부에 악성 파일을 삽입하는 '아르테미스 작전'이 포착됐습니다.</p> <p contents-hash="01337c3b7d494df41a290596a4a9dc6276df010f811f2bd7be9dddfd08a90262" dmcf-pid="8JgHLRPKXG" dmcf-ptype="general">오늘(22일) 지니언스 시큐리티센터는 APT37 그룹이 수행한 아르테미스 작전을 식별했다고 밝혔습니다.</p> <p contents-hash="39a562ae2a1dfc6c4edfdf20286af331eb2922cc73fdb17b683cc5845e0dd4a9" dmcf-pid="6iaXoeQ9tY" dmcf-ptype="general">앞서 지난 10월 미국의 북한 전문 매체인 38노스는 한글 문서가 북한의 사이버 공격 그룹의 주요 공격 대상으로 자리잡았다고 보도한 바 있습니다.</p> <p contents-hash="f6d90a57acc200a27f2a98e2706fb41a642dd29639ff2fe43e36d0af582d5411" dmcf-pid="PnNZgdx2YW" dmcf-ptype="general">공격 전개 과정에서 초기 침투의 경우 타인을 사칭하는 스피어 피싱이 활용됐습니다.</p> <p contents-hash="8b40059c89cd7b3fddcff91c889d33b53bafd46abdd4de6269a20c6124f0f6ca" dmcf-pid="QLj5aJMVXy" dmcf-ptype="general">스피어 피싱은 전달된 한글 문서를 매개로 이뤄졌고, 문서에 내장된 악성 OLE 개체가 실행되면서 사용자 환경에 대한 접근 권한을 확보했습니다.</p> <p contents-hash="90133dc3459696859111970ca54eeb04a94f0242ef94f444ae1db9e951b373df" dmcf-pid="xCTVSsDg1T" dmcf-ptype="general">침투된 위협 요소는 스테가노그래피와 DLL 사이드 로딩 등 복합 기법을 활용해 실행 흐름을 은폐하고 보안프로그램의 탐지를 회피했습니다.</p> <p contents-hash="739e6b92ac737011c9076df7adc092bd472db55c2dd548419a2c481b99b2a859" dmcf-pid="yfQI69qF5v" dmcf-ptype="general">스테가노그래피는 JPEG 이미지 내부에 RoKRAT 악성 파일을 숨겨 전달하는 암호화 기법을 의미합니다.</p> <p contents-hash="f464958518b786137858149fd5afec87c0e4886c78770275ac2b175c3c1f3c74" dmcf-pid="W4xCP2B3XS" dmcf-ptype="general">APT37그룹은 지난 7월부터 스테가노그래피 기법을 이용해 RoKRAT 모듈을 은밀하게 적재해왔습니다.</p> <p contents-hash="0d3cf9f60840cd420f7d88d0e22653aab166726ec6a96007ea47ba45e3daa1b5" dmcf-pid="Y8MhQVb0Xl" dmcf-ptype="general">특히 지난 8월부터는 이전까지 보고된 적 없는 인물 사진을 공격에 활용했다고 지니언스는 전했습니다.</p> <p contents-hash="656d4f0828fe707e4da9589928221e4f8b87ce3bb8e5efc05d7956ba8f540921" dmcf-pid="G6RlxfKpth" dmcf-ptype="general">DLL 로딩의 경우 마이크로소프트 시스템 관리 도구 모음의 시스템 유틸리티가 악용됐습니다.</p> <p contents-hash="00aeb723cade0f84f0a86cef1b20ff983910318a2bcbe28987b48ae3dda1856a" dmcf-pid="HPeSM49UZC" dmcf-ptype="general">APT37그룹은 실행 파일과 동일한 경로에 조작된 악성 DLL을 배치해 프로그램이 이를 정상 DLL로 오인해 로드하도록 유도했습니다.</p> <p contents-hash="00cd4b9ba8503c4d424bf6441146663c06495f39d1f835c39a0d093e57e111b8" dmcf-pid="XQdvR82u1I" dmcf-ptype="general">이후 APT37그룹은 지난 8∼11월 4개월간 연속적으로 해킹 공격을 고도화했습니다.</p> <p contents-hash="444621597478f9ace439a2d52f3138397281de9a2483ff957b96c2cd503dcb32" dmcf-pid="ZxJTe6V7XO" dmcf-ptype="general">지난 8월 말 APT37그룹은 국회 국제회의 토론자 초청 요청서로 가장한 이메일을 발송하며 사회적 신뢰도가 높은 특정 대학 교수의 신원을 사칭했습니다.</p> <p contents-hash="8427171327dab7495d59de9c4499ef30b06151ae75b5c8a04e4422f18d5e3d2a" dmcf-pid="5MiydPfzts" dmcf-ptype="general">해당 이메일에는 '북한의민간인납치문제해결을위한국제협력방안(국제세미나).hwpx' 파일이 첨부됐으며, 수신자의 관심 분야를 고려한 표적형 기만전술이 사용됐습니다.</p> <p contents-hash="811893c1b97f5c1eade9e878ecdc5b230b67aa4595bfd3c1a10b29e98267f2f9" dmcf-pid="1pqN7FZvtm" dmcf-ptype="general">이와 유사하게 APT37그룹은 국내 주요 방송사 프로그램의 작가를 사칭해 북한 체제와 인권 관련된 인터뷰를 요청하고 여러 차례 신뢰 형성 대화를 진행한 뒤 악성 한글 문서를 전달한 사례도 있었습니다.</p> <p contents-hash="73deaad78bd624d6764b8d01d0843a0a0ac097758e18e6e7325b902ff4c5a87e" dmcf-pid="tUBjz35THr" dmcf-ptype="general">서로 다른 방송 프로그램에 소속된 두 명의 작가 이름이 도용됐는데 이는 피해자에게 사회공학적 신뢰를 유도한 것으로 풀이됩니다.</p> <p contents-hash="886176a40908b2c1aa7c103d368f1aaa0704253e7971e8758b9797d02ac7002e" dmcf-pid="FubAq01ytw" dmcf-ptype="general">대학 교수나 방송사 작가를 사칭한 사례 외에도 특정 논평이나 행사 관련 문서를 위조한 사칭 공격 역시 다수 확인됐습니다.</p> <p contents-hash="a00a596bed6532ad84795d16aa50685b95ec229ad57b63becbd43b3c25aa04c2" dmcf-pid="37KcBptWZD" dmcf-ptype="general">이처럼 한글 문서를 활용한 공격은 문서 내부에 삽입된 OLE 개체를 하이퍼링크로 위장해 사용자가 직접 실행하도록 유도하는 전술을 사용합니다.</p> <p contents-hash="ebcf0d9d737c59a7c1b8f6ac73a24c9664a8456fceab540d18d3005d8b2dc091" dmcf-pid="0z9kbUFYYE" dmcf-ptype="general">특히 방송사 작가를 사칭한 사례의 경우 초기 접촉 단계에서는 악성링크나 첨부파일을 사용하지 않고 자연스러운 대화로 신뢰를 형성합니다.</p> <p contents-hash="4acb8dae3680a926f6b5af61d97d9187abef03da803ebf279d6454288204e2a4" dmcf-pid="pq2EKu3Gtk" dmcf-ptype="general">이후 회신을 통해 반응을 보인 상대에게만 추가로 인터뷰 요청서를 위장한 악성파일을 전달합니다.</p> <p contents-hash="1777f0266ae98b0b8a684bc8462333c7435423c886191f28d7bf2754b3fccdcc" dmcf-pid="UBVD970HGc" dmcf-ptype="general">지니언스는 "방송사 작가 명의를 활용한 공격 시나리오는 2023년 6월 초부터 활동이 포착됐다"며 "당시에는 북한이탈주민 초빙강의.zip 이름의 악성 압축파일이 유포됐다"라고 썼습니다.</p> <p contents-hash="0eb9539e19d195f1240bfc47e670e7852896bc036096142d2a849152eeaf77d1" dmcf-pid="ubfw2zpXtA" dmcf-ptype="general">그러면서 "APT37과 같이 전략적 목적을 기반으로 활동하는 위협 행위자는 탐지되지 않은 침해 시도, 끈질긴 APT 공격, 초기 정찰 활동 등 은밀하게 수행된 작전이 상당수 존재할 가능성이 높다"라고 강조했습니다.</p> <p contents-hash="fe8aa645531af165bf4bc2ad4478fdfbb0c114f906c5dc1733f42e68c7e23718" dmcf-pid="7K4rVqUZ5j" dmcf-ptype="general">#해킹 #북한 #라자루스</p> <p contents-hash="0c7f169bcfb9997a367c28c3e522d11ee9eaa3e8e1ddcb96a2ff12328410ff0e" dmcf-pid="zPeSM49UtN" dmcf-ptype="general">연합뉴스TV 기사문의 및 제보 : 카톡/라인 jebo23</p> <p contents-hash="a11e9af9be8f19218e28a397fd6a0616616b7f925b3ac2560e23a98bc85e7e04" dmcf-pid="qQdvR82uta" dmcf-ptype="general">문형민(moonbro@yna.co.kr)</p> </section> </div> <p class="" data-translation="true">Copyright © 연합뉴스TV. 무단전재 및 재배포 금지.</p> 관련자료 이전 천문학적 해킹 보상안에 떠는 기업들 12-22 다음 EPL·세리에A서 무승부 다수 발생…축구토토 승무패 83회차 적중결과 발표 12-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
