'학술 메일'로 위장해 해킹…北 소행이었다

학술 콘퍼런스 자료집을 발송하는 메일로 위장해 국내 정책 종사자와 기술 연구자를 노린 해킹 공격이 발생했다. 보안 업계는 북한 배후 해킹 조직인 ‘APT37’의 소행인 것으로 보고 있다.

13일 보안기업 지니언스의 산하 연구조직 지니언스시큐리티센터에 따르면 최근 APT37로 추정되는 공격자가 원격 접근 ‘트로이목마(RokRAT)’의 변종 악성코드를 유포한 정황이 확인됐다. RokRAT은 감염 시스템의 정보를 탈취하는 기능 등을 수행한다.

공격자는 지난달 22일 연구·정책·학술 분야 종사자에게 이메일을 대량으로 발송했다. 해당 메일에는 지난달 12일 서울 삼성동 코엑스에서 열린 ‘왜 지금 원산갈마 관광인가?’라는 제목의 학술 콘퍼런스 자료집을 보냈다는 내용이 담겼다. 실제 개최된 행사의 명칭과 주최기관 정보를 도용해 수신자가 정상적인 업무 연락인 것처럼 받아들이도록 유도한 것이다.

해킹은 이메일에 첨부된 PDF(휴대용문서형식) 자료를 클릭하는 즉시 발생하도록 설계됐다. 이메일에는 해당 콘퍼런스 관련 PDF 자료가 다운로드 링크 형식으로 첨부됐는데, PDF 문서처럼 보이지만 파일을 실행하면 백그라운드에서 악성코드가 작동한다. 보안업계 관계자는 “별도의 악성 프로세스를 생성하지 않고 정상 프로세스 내부에서 동작하기 때문에 감염 사실을 인지하기 어렵고 일부 보안 제품의 탐지도 우회할 수 있다”고 설명했다.

지니언스시큐리테센터는 APT37의 소행으로 분석했다. 최종 실행된 RokRAT 악성코드는 APT37이 주로 사용하며 코드 구조 등에서도 유사성이 확인됐다. 지니언스 관계자는 “실제 학술행사 정보를 악용한 사회공학 기법과 악성코드를 여러 단계에 걸쳐 조금씩 작동하게 하는 방식을 결합해 탐지 회피 능력을 한층 강화했다”며 “침해지표(IoC) 기반 탐지와 함께 스피어피싱(신뢰성 있는 기관 등으로 위장한 사기)·클라우드 기반 통신 등 공격 전 과정을 연계해 탐지하는 행위 기반 대응 체계를 갖춰야 한다”고 말했다.

허진 기자 hjin@hankyung.com