통합 보안 기업 이스트시큐리티(대표 정진일)는 한미 연합 군사훈련이 진행 중인 가운데 한국의 방위산업체를 대상으로 한 사이버 위협 징후가 다수 포착됐다며, 위험 수위가 연일 증대되고 있어 관련 기업들의 각별한 주의를 당부했다.

이번 공격 징후는 한미 연합훈련이 시작된 지난 22일 처음 탐지됐는데, 당시에는 마치 컴퓨터의 아이피 및 맥주소 조회 프로그램처럼 가장한 형태로 발견됐다. 해당 파일이 동작되면 외형상으로 컴퓨터의 실제 네트워크 정보를 출력해 주지만, 이용자 몰래 백그라운드로 은밀히 백도어(Backdoor) 기능의 악성 DLL 모듈을 심어 내부 정보 수집 및 외부 탈취를 시도한다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)는 해당 공격을 처음 포착한 이후 유사한 변칙 공격이 계속 증가하고 있다는 사실을 인지했고, 분석 결과 모두 동일한 미국 소재 아이피 (216.189.154[.]6) 주소와 악성 명령을 주고받는 것으로 확인했다.

공격자는 앞선 사례처럼 실행파일(EXE) 확장자를 가진 네트워크 프로그램처럼 위장한 경우, 공격 효과가 미비했다고 판단했는지 이어서 PDF나 XLSM 문서처럼 보이게 확장자를 2중으로 추가한 스크립트(JSE, VBS) 공격 수법도 재개했다. 거기에 추가로 흔히 바로가기(LNK) 아이콘처럼 보여지는 실행파일(PIF) 확장자 수법도 동원했던 것으로 드러났다.

이번에 탐지된 위협들은 거의 동일한 악성 패턴을 보유하고 있으며, 국내 방위산업체와 관련된 내부 업무 문건이나 표현이 공격 미끼로 활용된 점이 주목된다. 특히, 악성 파일 실행 직후 보여지는 정상 파일 중 일부가 국내 문서보안 솔루션(DRM)으로 암호화가 적용된 상태로 발견돼 일각에선 이미 탈취한 내부 자료가 후속 공격에 재활용된 것은 아닌지 관계 당국의 면밀한 조사가 필요하다는 지적도 나오고 있다.

ESRC는 이번 공격을 조사한 결과, 수년 전부터 국방 분야 및 방위산업체, 코로나바이러스 연구 제약사와 비트코인 거래소를 상대로 끈질긴 공격을 수행했던 이른바 “블루 에스티메이트(Blue Estimate)” 지능형지속위협(APT) 캠페인의 연장선이라 밝히며, 이 공격의 배후에 북한 정찰총국이 연계된 것으로 널리 알려져 있다고 설명했다.

한편, 악성파일을 이용한 공격 외에도 방위산업체 내부망 로그인 서비스처럼 조작한 피싱 주소도 발견됐는데, 공격자는 실제 웹 사이트와 디자인을 비슷하게 모방해 제작했다. 하지만 자세히 살펴보면 정상 사이트와 다른 점이 분명히 존재하며, 특히 공식 URL 주소를 유심히 살펴보면 진위여부 파악에 도움이 될 수 있다.

이스트시큐리티 ESRC 관계자는 “한미 연합 군사훈련이 진행되는 가운데 국내 방위산업체를 겨냥한 북한의 사이버 위협 수위가 갈수록 대담하고 고조되고 있다”라며, “국방 분야에 종사하는 민간전문가들은 언제든지 북한의 사이버 위협 대상에 노출될 수 있다는 점을 인식하고 항시 철저한 사이버 안보 태세를 유지할 필요가 있다”라고 주의를 당부했다.

이스트시큐리티는 새롭게 발견된 악성 파일의 탐지 기능을 자사 알약(ALYac) 제품에 긴급 업데이트하였으며, 피해 확산 방지를 위한 대응 조치를 한국인터넷진흥원(KISA) 등 관련 부처와 긴밀하게 협력하고 있다.