‘학술 자료집’ 열었더니 악성코드…북한 연계 해킹조직 APT37 지목 작성일 07-14 37 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="t97bbNoMz2"> <figure class="figure_frm origin_fig" contents-hash="f62ded5f0e4a03065d9b2761b0c4b46c604ba0c05d5c69fc87f1f3999f21f048" dmcf-pid="F2zKKjgRU9" dmcf-ptype="figure"> <p class="link_figure"><img alt="미끼용 정상 문서가 실행된 모습. 지니언스 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/14/donga/20260714073153062xlok.jpg" data-org-width="1600" dmcf-mid="Z2dllB7134" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/14/donga/20260714073153062xlok.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 미끼용 정상 문서가 실행된 모습. 지니언스 제공 </figcaption> </figure> <div contents-hash="6d8ef227209d866ad4b0587ea07ebe62393e6d8b2bfdc7255dc8363d10c3707d" dmcf-pid="3Vq99Aae3K" dmcf-ptype="general"> 실제 학술행사를 사칭해 연구자와 정책 기관 등을 노린 해킹 공격이 포착됐다. 정상 문서처럼 보이는 PDF 자료집 뒤에 악성코드를 숨기는 수법이 사용됐으며, 보안업계는 이번 공격의 배후로 북한 연계 해킹조직 ‘APT37’을 지목했다. </div> <p contents-hash="2a3ded357b1e4313a3eb375cbb20c10912fe5fcd32c0ffd5eb0bd30f34dbee52" dmcf-pid="0fB22cNdzb" dmcf-ptype="general">13일 보안업체 지니언스 시큐리티센터(GSC)는 지난달 22일 학술 컨퍼런스 자료집 배포를 사칭한 스피어피싱(Spear Phishing) 공격을 확인했다고 밝혔다.</p> <p contents-hash="3c3b2e37014baf820c71e39f68b6ca825d62d7008f6b90a0e2988722819d3a47" dmcf-pid="pyCvvKqFuB" dmcf-ptype="general">해커들이 미끼로 사용한 행사는 지난달 12일 서울 코엑스에서 열린 ‘왜 지금 원산갈마 관광인가?’ 학술 컨퍼런스다. 공격자는 실제 행사 정보를 일부 도용해 이메일을 발송한 것으로 조사됐다.</p> <p contents-hash="5b6b3fa9a3dbb0c16a4c4f4890bb4cb7aac2967e38566839a5eece6198af7726" dmcf-pid="UWhTT9B37q" dmcf-ptype="general"><strong>● PDF 자료집인 줄 알았는데…클릭하자 악성코드 실행</strong></p> <p contents-hash="f9879ddfa387a67e171f877551465ad2119a085cad9d18f6c8445084e2db66b5" dmcf-pid="uYlyy2b03z" dmcf-ptype="general">공격은 통일 분야 기업을 사칭한 이메일에서 시작됐다.</p> <p contents-hash="fdf172eeb18319975eb9bc815bdb693bae3e28252e705fc28e6e0b89fbe3916b" dmcf-pid="7GSWWVKp07" dmcf-ptype="general">이메일에는 PDF 자료집처럼 보이는 첨부파일이 포함돼 있었지만 실제로는 드롭박스(Dropbox) 클라우드로 연결되는 다운로드 링크였다.</p> <p contents-hash="a83aabd2c695e8c85c17bb31a113eebbe508363dd2439f343b60b3a12f36321a" dmcf-pid="zHvYYf9UFu" dmcf-ptype="general">사용자가 링크를 클릭하면 ISO 이미지 파일이 내려받아지고, 그 안에는 이름과 아이콘을 PDF처럼 꾸며 놓은 실행파일이 들어 있었다. 사용자가 이를 열면 실제 행사 자료집이 화면에 표시돼 의심을 피하도록 설계됐다.</p> <p contents-hash="18ef1abec5619d3cfe7b3f5aa77c00d80fabf2f8869610cd1ca58368b5d1cc36" dmcf-pid="qXTGG42uUU" dmcf-ptype="general">하지만 동시에 악성코드도 실행된다.</p> <figure class="figure_frm origin_fig" contents-hash="cb4bb665e1cfc8dcb6d26f8f09b02c0166cb03d3a4c17b8ba8ae3cdf485ef8db" dmcf-pid="BZyHH8V7up" dmcf-ptype="figure"> <p class="link_figure"><img alt="실제 스피어피싱 메일의 내용. 지니언스 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/14/donga/20260714073154304rtzr.jpg" data-org-width="1600" dmcf-mid="1Lq99Aae7V" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/14/donga/20260714073154304rtzr.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 실제 스피어피싱 메일의 내용. 지니언스 제공 </figcaption> </figure> <div contents-hash="9ffde7afb08b00093aec6b865b19f5f52b30f237590b2ccd5bd341f766b1d1be" dmcf-pid="b5WXX6fz30" dmcf-ptype="general"> 그 악성코드는 윈도우 정상 프로세스인 ‘explorer.exe’에 자신을 삽입해 정상 프로그램처럼 위장한 뒤 사용자의 의심을 피하면서 동작한다. </div> <p contents-hash="b4f97f6fac1e2d991a5a0ed9511f16bcd6e79a490271d58544480c4115b86860" dmcf-pid="KALNNHWIu3" dmcf-ptype="general">최종적으로 실행되는 것은 원격제어 악성코드 ‘록랫(RokRAT)’의 변종이다. 이 악성코드는 감염된 PC의 운영체제와 계정, 프로세스, 화면 정보 등을 몰래 수집하고 외부 명령을 수행하는 기능을 갖추고 있다. 이를 이용해 해커들은 엑셀·워드·파워포인트·한글·PDF 등 업무 문서를 선별해 빼낼 수 있게 된다.</p> <p contents-hash="f62e4b5c82f9ba944adaf218a97f04446871e9332b14f7f14c054136107e7b43" dmcf-pid="9cojjXYC3F" dmcf-ptype="general"><strong>● 배후로 북한 해커조직 ‘APT37’ 지목…수법·계정 비슷</strong></p> <p contents-hash="17816f23fcb8b45f878165fd74f87abf7e1db1e1904821cccc5a21c2998ff600" dmcf-pid="2kgAAZGhFt" dmcf-ptype="general">지니언스는 이번 공격이 북한 연계 해킹조직 APT37의 소행일 가능성이 높다고 분석했다.</p> <p contents-hash="643eac999e784292ba506ad8c6b654609debd5fca1c2e7037173fa5bad736ccc" dmcf-pid="VEacc5Hl01" dmcf-ptype="general">지난해 말 공개된 ‘작전명 아르테미스’에서 공격을 감행한 계정과 동일한 계정으로 파악된다는 점이 그 근거다. 특히 두 사건에 쓰인 악성코드를 비교한 결과 △명령을 처리하는 방식 △암호를 푸는 방식 △서버와 통신하는 방식에서도 높은 유사성이 나타났다.</p> <p contents-hash="547f9b43de60d95997d08bc2077107778b48a75ac4eb59d841b107d126c9fe37" dmcf-pid="fDNkk1XSu5" dmcf-ptype="general">지니언스는 이번 공격을 ‘캡슐 은닉 작전(Operation Capsule Vault)’으로 명명했다. 아울러 공격에 사용된 서버 주소 등 관련 정보를 함께 공개하며 이메일 유입-파일 실행-서버 통신까지 공격 전 과정을 연계해 탐지하는 대응 체계 강화가 필요하다고 밝혔다.</p> <p contents-hash="bc86b8ce0c977bff0112cc5caeeb929d2deda732a4ee6f70cfaa8fd1a1e837dd" dmcf-pid="4wjEEtZvuZ" dmcf-ptype="general">지니언스 측은 “실제 학술행사 자료집 배포를 사칭한 스피어피싱(Spear Phishing) 이메일로 정교한 사회공학 기법과 다단계 페이로드 구조를 포함한 공격”이라며 “침해지표(IoC) 기반 탐지뿐 아니라 스피어피싱 메일·클라우드 기반 C2 통신 등 공격 전 과정을 연계해 탐지할 수 있는 행위 기반 대응 체계를 갖춰야 한다”고 강조했다.</p> <p contents-hash="6bfbc89cade73521c7c4ab4835307694613d9828273e184e4e485b6016ecbcb6" dmcf-pid="8rADDF5TpX" dmcf-ptype="general">김영호 기자 rladudgh2349@donga.com </p> </section> </div> <p class="" data-translation="true">Copyright © 동아일보. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지</p> 관련자료 이전 광명스피돔 경륜, 제헌절(17일) 정상 운영 07-14 다음 "이게 맥그리거가 완전히 미친 점"...할로웨이가 회상한 69초 승부, "부상을 입은 후에도 계속 싸울 것을 요구했어" 07-14 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
