실제 학술행사 사칭한 해킹 공격 포착…APT37 추정 악성코드 유포

[CBC뉴스] 학술 컨퍼런스 자료집을 사칭한 이메일을 통해 연구자와 정책 분야 종사자를 노린 해킹 공격이 최근 포착됐다. 보안업계는 북한 연계 해킹조직 APT37의 소행일 가능성이 높은 것으로 분석했다.

13일 지니언스 시큐리티 센터에 따르면 공격자는 지난달 22일 연구·정책·학술 분야 관계자들에게 '왜 지금 원산갈마 관광인가?' 학술 컨퍼런스 자료집을 제공하는 것처럼 꾸민 이메일을 발송했다. 해당 행사는 지난달 12일 서울 코엑스에서 실제 열린 행사로, 공격자는 행사명과 주최기관 정보를 도용하고 통일 분야 기업을 가장한 발신자 정보를 사용해 정상 업무 메일처럼 위장했다.

이메일에는 PDF 자료집으로 보이는 드롭박스 다운로드 링크가 포함됐다. 사용자가 링크를 클릭하면 ISO 이미지 파일이 내려받아지며, 내부에는 PDF 문서로 위장한 실행파일이 담겨 있다.

파일을 실행하면 실제 학술행사 자료집이 화면에 표시되는 동시에 백그라운드에서는 악성코드가 함께 실행된다. 악성코드는 별도 프로세스를 생성하지 않고 정상 프로세스 내부에서 동작해 사용자가 감염 사실을 인지하기 어렵고 일부 보안 솔루션의 탐지도 우회할 수 있는 것으로 분석됐다.

최종적으로 실행되는 악성코드는 원격 접근 트로이목마(RAT)인 RokRAT 변종이다. 감염된 시스템의 정보를 탈취하거나 원격 명령을 수행할 수 있으며, 정상 클라우드 서비스를 명령제어(C2) 채널로 활용하고 구글 검색엔진 봇으로 위장한 통신을 이용해 네트워크 탐지를 회피하도록 설계됐다.

지니언스는 동일 계정 사용, 코드 구조, 클라우드 기반 C2 운용 방식 등에서 기존 APT37 공격과 높은 유사성이 확인됐다며 이번 공격의 배후를 APT37로 추정했다.

또 하나의 실행파일에 정상 문서와 악성 페이로드를 함께 담아 은닉하는 방식을 착안해 이번 공격을 'Operation Capsule Vault(캡슐 은닉 작전)'으로 명명했다.

지니언스는 "실제 학술행사 정보를 악용한 사회공학 기법과 다단계 페이로드를 결합해 탐지 회피 능력을 높인 공격"이라며 "침해지표(IoC) 기반 탐지뿐 아니라 스피어피싱과 클라우드 기반 통신 등 공격 전 과정을 연계해 탐지하는 행위 기반 대응 체계가 필요하다"고 밝혔다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자