북한 연계 해킹조직 라자루스가 국내 학회와 언론사 등의 웹사이트를 사이버 공격을 위한 통신 거점으로 활용한 정황이 포착됐다.

정상적인 웹사이트를 악성코드의 명령제어(C2) 서버로 악용해 공격자의 지시를 전달한 것이다.

산부인과학회·언론사 웹주소, 악성코드 통신 서버 목록에
1일 글로벌 보안업체 카스퍼스키가 최근 공개한 '오퍼레이션 플래시홀(Operation FlashHole)' 보고서에 따르면 대한산부인과학회 홈페이지를 비롯한 국내 여러 웹사이트 주소가 라자루스 악성코드의 침해지표(IoC)에 포함됐다.

침해지표는 공격자가 시스템을 침해했거나 악성코드에 감염된 것을 보여주는 기술적 단서다.

보고서에는 대한산부인과학회 홈페이지인 'ksog.org'의 하위 주소가 악성코드 '클라이언트허브(ClientHub)'의 C2 서버로 명시됐다.

국내 언론사와 인테리어 업체 등의 웹사이트도 악성코드 '큐브리지(Cubridge)'의 C2 서버 목록에 포함됐다.

카스퍼스키는 라자루스가 초기에는 국내 언론사와 인테리어 업체의 정상적인 웹사이트를 통신 거점으로 활용했으며 이후 다양한 업종의 웹사이트로 범위를 넓혔다고 분석했다.

다만 보고서에는 개별 웹사이트의 구체적인 침해 경위나 범위가 공개되지 않았다. 해당 사이트의 개인정보 유출 여부도 확인되지 않았다.


가짜 이력서로 국내 기업 노려…크로스웹 EX 악용 가능성
카스퍼스키는 이번 공격이 국내 기업을 겨냥한 사이버 첩보 활동이라고 분석했다.

연구진이 확인한 공격 흔적은 지난해 7월까지 거슬러 올라간다. 국내 소프트웨어(SW), 건설, 유선통신장비 제조 분야에서 최소 3개 조직이 공격 대상이 된 것으로 파악됐다.

공격자들은 표적 기업의 업무와 관련된 가짜 이력서나 포트폴리오 웹사이트를 제작하고 이메일로 접속을 유도한 것으로 추정된다.

특히 가짜 이력서에 인공지능(AI)으로 생성한 것으로 추정되는 인물 사진을 활용한 정황도 발견됐다.

카스퍼스키는 국내 인터넷뱅킹과 공공기관 웹사이트에서 주로 사용하는 금융 보안 프로그램 '크로스웹 EX(CrossWeb EX)'가 악성 코드 감염 과정에 악용됐을 가능성이 크다고 분석했다.

연구진은 크로스웹 EX의 실행 프로세스를 통해 악성코드 '테크허브(TechHub)'가 실행되고 이후 다른 악성코드들이 추가로 실행되는 경로를 확인했다.

악성코드는 감염된 기기에서 공격자의 명령을 수행하거나 외부 서버와 통신하는 기능을 갖춘 것으로 분석됐다.

카스퍼스키는 "라자루스는 이전 작전이 끝난 직후 다음 공격을 준비하고 기존 도구를 개선해 한층 발전된 악성코드 감염 체계를 구축하는 것으로 나타났다"고 설명했다.

shushu@news1.kr