지난 5월부터 북한에서 활동하는것으로 추정되는 해킹단체가 학술단체를 노리고 공격한것으로 나타났다. 이에 대해 보안업체인 넷스카웃(NetScout)측은 이와 관련된 내용을 분석해 보고서를 발표했다.
해커들은 스피어 피싱 이메일을 활용, 피해자들을 한 웹사이트로 유도한다. 이 웹사이트는 방문자들이 특정 구글 크롬 확장 프로그램을 설치하도록 유도시키는것으로 이는 당연히 악성 프로그램이다. 그 후 최초로 침해가 발생시 해커들은 정상적인 툴을 이용해 공격을 지속시킴으로서 탐지를 회피한다.
넷스카웃측은 악성 크롬 확장 프로그램을 설치하도록 설계된 도메인은 학술 단체만을 겨냥한 것이나, 아직 다른 공격표적이 남아있을 가능성이 있다고 밝혔다. 이들이 현재까지 찾아낸 피해자들은 다량의 대학기관들과 생물 의학 공학과 관련된 전문 단체들이다.
치명적인 공격과는 다르게 자신들의 흔적을 감추는 것은 그닥 뛰어난 모습을 보이지 않았기 때문에 넷스카웃측은 이것들을 추격해 한국어로 열린 웹 브라우저와, 영한번역기, 한글로 변환된 키보드와 같은 흔적을 발견할 수 있었다.
해커들이 공격을 지속시키기 위해 사용한 것은 윈도우에 기본으로 탑재된 툴 또는 정상적으로 판매하는 상업용 프로그램이며, 원격 데스크톱 프로토콜(Remote Desktop Protocol) 등도 사용해 계속 시스템에 접근했다는 것까진 확인되었으나, 데이터가 직접적으로 탈취된 흔적과 증거가 나타나지 않은 탓에 공격의 동기는 확실치 않다.
학술단체들만을 노린 해커들의 공격 동기가 명확히 드러난 것은 전혀 아니지만, 현재까지 발견된 특징들인 기초 수준의 공격 기술, 정상적인 상업용 프로그램의 활용, 암호화폐 관련 공격 툴, 한국어 등을 놓고 봤을 때, 공격 주체는 북한일 가능성만은 높다는 것이 넷스카웃의 의견이다.
댓글
0