통일 정책분야 연구원으로 사칭한 ‘금성121’ APT 공격 주의

안녕하세요? 

이스트시큐리티 시큐리티대응센터(ESRC)입니다.

최근 특정 정부가 연계된 것으로 알려진 사이버 위협 그룹 일명 ‘금성121(Geumseong121)’ 해커들이 새로운 공격 시나리오로 APT(지능형지속위협) 공격을 시도한 정황이 포착되어 주의가 요구됩니다.

금성121 그룹은 최근까지 다양한 해킹 사례의 배후로 지목되고 있으며, 라자루스(Lazarus), 김수키(Kimsuky), 코니(Konni) 등과 함께 대한민국을 주무대로 활동하는 대표적인 위협 조직 중 하나입니다.

최근 포착된 APT공격에서는 이들은 통일정책 분야의 연구원으로 변장해 공격 대상의 스마트폰 전화번호 등 개인정보를 1차 수집하고 일정 기간 후 상대방과 성별이 다른 카카오톡 프로필을 만들어 해킹을 시도하고 있음이 확인되었습니다. 만약 공격 대상자가 남성일 경우에는 미모의 여성 사진과 이름으로 접근해, 미인계 작전을 통해 공격을 진행한 것으로 보여집니다.

공격자는 먼저 대북 분야에서 활동하는 주요 인사들을 선별하고, 이들에게 자신이 통일 정책 분야의 기관에 새로 근무하게 된 여성 선임연구원처럼 사칭한 가짜 소개 이메일을 보냅니다.

[그림 1 통일정책분야 연구원으로 위장하여 관련업계 관계자들에게 보낸 악성 이메일 화면

해당 이메일에는 기존 스피어 피싱 공격처럼 별도의 악성 파일이나 위험한 URL 링크를 포함하지 않고 평범한 소개 및 인사 내용만을 담고 있어 메일 수신자로 하여금 해킹 의심을 최소화하고 있습니다. 그러나 이후 이메일을 수신한 다수의 사람에게 확인차 회신을 요청하고, 일부 답신한 사람들에게 연락 목적으로 전화번호 등을 요구합니다.

이런 일반적인 이메일 소통 과정을 통해 공격 대상자의 스마트폰 전화번호를 확보하고, 일정 기간이 지난 다음 가상의 새로운 인물로 위장해 카카오톡으로 은밀히 접근을 시도합니다.

카카오톡을 통해 공격 대상자와 접촉한 공격자는 최소 1달 이상 극히 일상적인 대화와 정상적인 사진, 문서 파일 등을 여러 차례 공유하며 최대한 의심을 피하며 대화를 지속합니다. 이를 통해 자신이 보낸 파일은 전혀 보안 위협이 되지 않는 것처럼 위장하고, 점차 신뢰하도록 장기간 치밀한 과정을 거치게 됩니다.

이러한 생활 밀착형 개인 소통을 통해 어느정도 친밀감을 높이고 안심했다고 생각하는 시점에 공격자는 드디어 본색을 드러내고, 위협요소가 포함된 자료를 전달해 해킹을 본격적으로 수행하게 됩니다. 

온라인상 불특정 인물과 인맥을 맺는데 있어 각별히 주의가 필요해 보이는 부분입니다.

특정 정부 후원을 받는 ‘금성121’ 조직은 기존의 PC 기반 공격뿐만 아니라 이처럼 스마트폰을 활용하여 다양한 형태의 APT 공격을 시기적절하게 수행하고 있으며, 1회성이 아닌 중장기적인 플랜과 시간을 두고 맞춤형 APT 공격을 수행하고 있는 것으로 판단됩니다.

실제로 이 조직은 지난 3월 ‘오퍼레이션 스파이 클라우드(Operation Spy Cloud)’ APT 공격을 통해 외교, 통일, 안보분야 종사자나 대북관련 단체장, 탈북민을 겨냥한 위협을 가속화 중인 것이 알려진 바 있고, 웹 서버를 직접 디자인해 구축하는 등 갈수록 치밀하고 과감한 공격을 수행한 사실도 확인되었습니다. 특히, 구글 플레이 공식 앱 마켓이나 유튜브를 통한 신뢰 기반의 공격 대담성은 다른 APT 조직에서 흔히 보기 어려운 독특함을 지니고 있습니다.

※ 관련글보기

▶ 위장 탈북 증거로 유인한 '금성121' APT 조직의 '스파이 클라우드' 공격 등장 (20.03.30)

‘금성121’ 조직은 한국의 정치적인 상황과 맞물려 통일 및 대북 관련 관계자를 겨냥한 대표적인 위협 배후로 지목되고 있으며, 다양한 모바일 서비스를 활용한 위협 활동을 지속하고 있습니다. 특히 최근까지 모바일 기반으로 공격 대상자를 선별해 공격을 진행하고 있는 상황을 봤을 때, 모르는 사람이 대화를 시도해 올 경우 함부로 친구 관계를 맺지 않도록 하고, 반드시 별도의 신분 확인 과정을 거치는 등의 보안 의식 생활화가 필요합니다.

정부차원의 사이버 공작활동은 국가 사이버 안보차원의 문제로 대두되고 있으며, 위협 인텔리전스 기반의 대응 노력과 협력, 체계적인 연구가 절실히 요구됩니다.