정상 문서 가장해 악성코드 설치
APT37 소행 가능성…보안 주의 당부

실제 학술대회 자료집을 사칭한 이메일을 이용해 연구자와 정책 분야 종사자를 노리는 해킹 공격이 최근 발견됐습니다.

보안업체 지니언스 시큐리티센터는 13일 북한 배후 해킹 조직 'APT37'의 소행으로 추정되는 원격 접근형 악성코드 유포 사례를 확인했다고 밝혔습니다.

공격자는 지난달 연구·정책·학술 분야 관계자들에게 실제 서울 코엑스에서 열린 학술 컨퍼런스 자료집을 보내는 것처럼 꾸민 이메일을 발송했습니다.

행사 명칭과 주최기관 정보를 그대로 활용하고 통일 관련 기업을 가장한 발신자 정보를 사용해 정상적인 업무 메일처럼 보이도록 꾸민 것이 특징입니다.

이메일에는 자료집이 담긴 PDF 파일처럼 보이는 드롭박스 다운로드 링크가 포함됐습니다.

하지만 링크를 클릭하면 ISO 이미지 파일이 내려받아지고, 내부에는 PDF 문서처럼 위장한 실행파일이 들어 있었습니다.

사용자가 파일을 실행하면 화면에는 실제 학술행사 자료집이 열리지만, 동시에 백그라운드에서는 악성코드가 몰래 실행되는 방식입니다.

특히 별도의 악성 프로세스를 만들지 않고 정상 프로그램 내부에서 동작해 사용자가 감염 사실을 알아채기 어렵고 일부 보안 프로그램의 탐지도 우회할 수 있는 것으로 분석됐습니다.

최종적으로 설치되는 악성코드는 'RokRAT' 변종으로 확인됐습니다.

이 악성코드는 감염된 컴퓨터의 정보를 빼내거나 원격으로 명령을 수행할 수 있으며, 정상 클라우드 서비스를 명령제어 서버로 활용하고 검색엔진 봇처럼 통신을 위장해 네트워크 탐지까지 피하도록 설계됐습니다.

지니언스는 사용된 계정과 코드 구조, 클라우드 기반 명령제어 방식 등이 기존 APT37 공격과 매우 유사하다며 이번 공격 역시 동일 조직의 소행일 가능성이 높다고 분석했습니다.

또 하나의 실행파일 안에 정상 문서와 악성코드를 함께 숨기는 방식에 착안해 이번 공격을 '오퍼레이션 캡슐 볼트(Operation Capsule Vault)'로 명명했습니다.

지니언스는 실제 학술행사 정보를 악용한 사회공학 기법과 다단계 악성코드 구조가 결합된 만큼, 단순한 악성코드 목록 기반 탐지뿐 아니라 이메일, 스피어피싱, 클라우드 통신 등 공격 전 과정을 종합적으로 분석하는 행위 기반 보안 체계가 필요하다고 강조했습니다.