탈북자와 대북 관련자를 겨냥한 모바일 지능형지속위협(APT) 공격이 발견돼 주의가 필요하다.
이스트시큐리티(대표 정상원)는 탈북자와 대북 단체, 외교, 안보, 통일 분야 관련자를 대상으로 지난 6월부터 지속적으로 수행된 모바일 APT 공격 '드레곤 메신저 오퍼레이션'을 포착했다고 5일 밝혔다.
이번 공격은 특정 정부의 후원을 받는 것으로 알려진 해킹 조직 '금성121'의 소행으로 추정된다. 이 조직은 주로 한국의 대북 단체와 대북 분야 종사자, 탈북자를 대상으로 악성파일을 통한 스피어피싱과 APT 공격을 수행해 왔다.
하지만 이번에 확인된 공격은 가짜 웹사이트 제작뿐만 아니라 실존하는 보안 메신저를 사칭한 모바일 메신저를 직접 제작해 APT 공격에 활용하는 한편, 소셜네트워크서비스(SNS)를 활용한 악성 앱 설치 유도 방식을 사용하는 등 기존 공격 방식에서 진화한 형태를 보였다.
이스트시큐리티 시큐리티대응센터(ESRC) 관계자는 “이번 공격은 카카오톡 메신저를 통해 최근까지 악성 앱이 유포된 정황과 연결돼 있다”면서 “특정 분야 종사자에게 대화를 시도한 후 보안 메신저를 설치해 대화를 계속하자고 제안하는 등 악성 앱 설치를 유도하는 교묘한 수법을 사용하고 있다”고 설명했다.
공격자는 먼저 '북한 이탈주민 모금운동'이라는 워드프레스 기반의 가짜 웹사이트를 제작한 후 구글플레이에 자체 제작한 정보 탈취용 메신저 앱 2개를 추가로 업로드했다.
웹사이트에는 탈북민이 생활상 문제를 공유하거나 지원과 도움을 받을 수 있다는 안내를 표시해 악성 앱 설치를 유도했다. 또 별도로 유포한 악성 앱은 '쓰리마(Threema)', '위커(Wickr)' 등 실제 존재하는 보안 메신저를 사칭했으며, 사용자 의심을 피하기 위해 정상적인 앱 기능이 대부분 수행되도록 제작했다.
해당 악성 앱은 지난 8월 ESRC가 발표한 '스마트폰을 노린 금성121 조직의 APT 공격'에서 활용된 앱과 매우 유사한 것으로 분석됐다. 이 악성 앱은 현재 구글플레이에서 삭제됐다.
공격자는 특정 분야 관련자를 대상으로 한 이메일 발송과 함께, 페이스북과 유튜브를 통해서도 가짜 웹사이트 방문과 악성 앱 설치를 유도했다.
만약 스마트폰에 악성 앱을 설치하면, 가입 시 입력한 계정 정보 유출은 물론 스마트폰이 공격자 명령으로 움직이는 '좀비폰' 상태로 변해 사실상 모든 정보가 외부로 유출될 위험이 있다.
특히 스마트폰은 업무용 PC나 가정용 PC에 비해 민감하고 개인적인 정보가 많이 저장돼 있고 실시간 도청까지 가능하기 때문에 피해 규모가 더욱 커질 수 있다.
문종현 ESRC 이사는 “이번 공격을 분석한 결과 페이스북과 유튜브 같이 친숙한 채널을 이용해 탈북민과 대북 관련자에게 악성 앱 설치를 유도한 것으로 나타났다”면서 “탈북민 후원 모바일 앱을 제작하고 SNS 등을 통해 설치를 홍보하는 방식으로 감시 대상 한 곳에 모아 정보를 탈취하고 염탐하는 고도의 전략을 구사했다는 점을 주목해야 한다”고 강조했다.
오다인기자 ohdain@etnews.com
