[디지털투데이 황치규 기자]안랩은 24일 주요 해킹그룹인 킴수키(Kimsuky) 2022년 공격 방식을 분석한 ‘킴수키 그룹 2022년 동향 보고서’를 자사 차세대 위협 인텔리전스 플랫폼 ‘안랩 TIP’에 공개했다.

이번 보고서에서 안랩은 다양한 경로로 유관 악성코드, C2 서버(Command & Control 서버. 공격자가 원격에서 악성코드 유포, 정보탈취 등 공격을 수행하기 위해 사용하는 서버) 등의 정보를 수집해 기존 킴수키 그룹이 수행한 것으로 알려진 공격 방식과 비교·대조하며 분석을 진행했다. 이를 바탕으로 2022년 킴수키 그룹 악성코드 유포 방식 및 공격 특징 등을 작성했다. 

보고서에 따르면 지난해 킴수키 그룹은 타깃이 된 개인, 조직 구성원을 속이기 위해 최적화된 스피어피싱 수법을 적극적으로 활용한 것으로 나타났다. 

'스피어피싱'이란 특정인이나 특정 조직을 표적으로 정교하게 제작된 메일 등을 보내 악성코드 감염이나 피싱사이트 접속을 유도하는 공격방식이다. 

다양한 유관 악성 문서와 파일을 분석한 결과, 공격자는 타깃 조직 및 개인과 연관성이 높은 주제로 좌담회∙자문요청서∙연구 결과보고서 등을 위장한 악성문서를 제작해 악성코드 유포에 활용했다. 또 문서나 이메일 등을 실제와 분간이 어려울 정도로 정교하게 제작한 것으로 미루어 볼 때, 공격그룹은 타깃에 대한 치밀한 사전 조사를 수행한 것으로 안랩은 추정했다.

킴수키 그룹은 공격에 활용하는 악성코드 종류도 확대했다. 킴수키 그룹은 2020년경부터 특정 키로깅 또는 백도어 악성코드를 주로 사용해온 것으로 알려져 있다. 그러나 안랩이 수집한 유관 악성 URL 및 FTP(파일 전송 프로토콜) 서버를 분석한 결과 키로깅 악성코드인 플라워파워(FlowerPower)와 백도어 악성코드인 애플시드(AppleSeed) 외에도 웹브라우저 내 각종 정보를 유출하는 ‘인포스틸러’ 악성코드, 원격제어 악성코드인 ‘RAT(Remote Administration Tool)’도 추가로 발견됐다.  공격자는 더욱 광범위한 피해를 발생 시키기 위해 공격에 활용하는 악성코드를 다변화하고 있는 것으로 보인다고 안랩은 분석했다.

안랩은 “주요 해킹그룹인 킴수키그룹은 명확한 타깃을 설정하고, 이 타깃에 대해 고도화된 공격을 진행하는 것으로 나타났다”면서 "킴수키 그룹은 앞으로도 다양한 방식으로 공격 수법을 변화시킬 것으로 보이기 때문에, 조직과 개인은 최신 사이버 위협 정보를 습득하고 기본 보안수칙을 일상에서 실천해야 한다”고 말했다.