Photo Image

이스트시큐리티(대표 정상원)는 '한국 방산업체 망 분리 관련 요청사항'을 사칭한 악성코드가 발견돼 각별한 주의가 필요하다고 6일 밝혔다.

이번 공격에 사용된 악성 문서 파일은 한국시각(UTC+09) 기준 이달 4일 오후 9시 50분경 제작됐다. 7월 5일 최초로 발견됐다.

공격에 사용된 취약점 공격(익스플로잇) 코드는 제로데이(Zero-Day) 취약점은 아닌 것으로 확인됐다. 문서 작성 프로그램을 최신 버전으로 보안 업데이트 유지하면 위협에 노출되지 않는다.

ESRC인텔리전스 위협 분석에 따르면 공격에 사용된 악성코드는 정부 지원을 받는 것으로 추정되는 APT 공격 시리즈와 유사하다고 밝혔다. 한국 특정 웹 서버 5개를 해킹해 명령제어(C2) 서버로 사용했다.

특정 방위산업체 망 분리 관련 요청사항처럼 사칭한 문서를 사용한 만큼 관계된 업무 종사자나 업체를 상대로 한 표적 공격 가능성을 열어뒀다.

문종현 ESRC 이사는 “최근 국내에 특화된 한국 맞춤형 스피어 피싱 공격 정황이 지속 포착 된다”면서 “정부기관 문서 사칭뿐 아니라 방위산업 관련 문서 내용까지 악용되는 만큼 보다 세심한 관심과 주의가 필요하다”고 말했다.

이어 “이번 공격은 정부가 배후에 있는 것으로 알려진 국가기반 위협그룹 공격 기법과 유사도가 높아 민관이 협력해 위협 인텔리전스 보안강화에 힘써야 한다”고 덧붙였다.

이스트시큐리티는 특정 위협 그룹 추적을 유지하고 있으며 '쓰렛 인사이드(Threat Inside)' 위협 인텔리전스 서비스를 통해 위협정보 분석 시스템을 공유할 계획이다.


알약에서는 이번 공격에 사용된 악성코드를 'Exploit.HWP.Agent' 등으로 진단 후 치료한다.


정영일기자 jung01@etnews.com