[디지털투데이 석대건 기자] 북한 관련 사이버 공격 징후가 포착됐다. 

5일 이스트시큐리티는 탈북자와 대북 분야 관련자를 대상으로 한 금성121(Geumseong121) 조직의 모바일 APT(지능형지속공격) 공격 정황이 발견됐다고 전했다. 

이스트시큐리티는 지난 6월부터 탈북자와 대북 단체, 외교, 안보, 통일 분야 관련자 등을 대상으로 지속적으로 수행됐던 모바일 APT공격 ‘드레곤 메신저 오퍼레이션(Dragon Messenger Operation)’을 발견했다며, 특히 이번에는 카카오톡이나 SNS 등을 활용해 한층 고도화된 공격 방식으로 전개돼 주의를 요구했다.

이번 공격에서는 가짜 웹사이트 제작뿐만 아니라 실존하는 보안 메신저를 사칭한 모바일 메신저를 직접 제작해 APT공격에 활용했다. 또 SNS를 활용한 악성 앱 설치 유도 홍보 방식을 사용하기도 하는 등 기존의 공격 방식에서 한단계 진화한 형태를 선보였다. 

공격자는 먼저 ‘북한 이탈주민 모금운동’이라는 워드프레스 기반으로 제작한 가짜 웹사이트를 제작해두고, 추가로 구글플레이에 자체적으로 제작한 정보 탈취용 메신저 앱 2개까지 업로드했다. 

가짜 웹사이트에는 탈북민들이 생활상 문제를 공유하거나 지원과 도움을 받을 수 있다는 안내가 나타나고, 가짜 모바일 메신저 악성 앱 설치를 유도한다. 게다가 별도로 유포한 악성 앱은 ‘쓰리마(Threema)’, ‘위커(Wickr)’ 등 실제 존재하는 보안 메신저를 사칭했고, 사용자 의심을 피하기 위해 정상적인 앱 기능을 대부분 수행하도록 제작됐다.

특히 이 악성 앱은 지난 8월 이스트시큐리티 시큐리티대응센터(이하 ESRC)가 발표한 ‘금성121조직의 스마트폰을 노린 APT공격 이슈’에서 활용된 악성 앱과 유사성이 매우 높다고 ESRC은 전했다. 현재 해당 악성 앱은 현재 구글플레이에서 삭제된 상태다.

또한 공격자는 특정 분야 관련자를 대상으로 한 이메일 발송과 함께, 페이스북과 유튜브를 통해서도, 가짜 웹사이트 방문과 악성 앱 설치 유도를 홍보했다.  

만약 공격자의 의도대로 사용중인 스마트폰에 악성 앱을 설치하게 되면, 가입시 입력한 계정정보 유출은 물론 스마트폰이 좀비폰 상태로 변해 모든 정보가 외부로 유출될 수 있다.

특히 스마트폰의 경우는 업무용 PC나 가정용 PC에 비해 민감하고 개인적인 정보가 많이 저장되어 있고, 실시간으로 도청까지 가능하다.

문종현 이스트시큐리티 시큐리티대응센터(ESRC) 이사는 “이번 공격을 분석 및 추적한 결과, 페이스북과 유튜브와 같이 사용자가 친숙할 만한 채널을 이용해 탈북민과 대북 단체 관련자에게 악성 앱 설치를 유도하고 있었다”라며, “공격자가 커뮤니티 기반의 탈북민 후원 모바일 앱을 제작하고 SNS 등을 통해 해당 앱 설치를 홍보하는 방식으로, 감시 대상이나 공격 타깃을 한 곳으로 모아서 은밀하게 정보를 탈취하고 염탐하는 고도의 전략을 구사했다는 점을 주목해야 한다”고 강조했다. 

한편, 이스트시큐리티가 서비스하는 모바일 백신 ‘알약M(ALYac M)’에서는 공격에 사용된 악성앱을 탐지명 ‘Trojan.Android.Agent’ 차단하고 있으며, 보다 상세한 분석 내용과 침해지표(IoC)는 ‘쓰렛인사이드(ThreatInside)’ 위협 인텔리전스 리포트를 통해 별도로 제공할 예정이다.