통일부 북한인권과 토론회로 둔갑한 北 해킹 공격 주의!

 

 

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다.
통일부의 실제 토론회 개최 안내용 보안 메일처럼 위장한 해킹 공격이 발견되어 주의가 필요합니다.

이번에 발견된 공격은, 지난 7월 통일부 공식 홈페이지 보도자료를 통해 알려진 '북한주민의 생명권 보호 및 인권증진을 위한 국제사회의 역할 모색' 주제의 토론회 내용을 사칭하였습니다. 

해당 토론회는 2월 10일 금요일, 오전 9시 30분부터 12시까지 국회의원회관 제 1소회의실에서 개최될 예정이며, 영국 의회 내 북한 관련 의원 모임의 공동 의장이자 인권 운동가인 데이비드 알톤 상원의원의 방한을 계기로 마련되었으며, 통일부가 국민의 힘 태영호 국회의원과 공동으로 주최합니다. 

금번 토론회는 태영호 의원의 개회사와 권영세 통일부장관의 환영사, 콜린크룩스 주한영국대사의 축사 및 데이비드 알톤 영국 상원의원의 기조연설로 시작될 예정입니다. 토론회에서는 북한 인권 문제에 대한 국제사회의 관심과 공동대응을 촉구할 뿐만 아니라 국내외 전문가들의 의견을 수렴하여 북한 주민의 인권 개선을 위한 국내외 협력을 강화해 나갈 계획입니다. 

한편, 통일부는 평소 보안상의 이유로 주요 안내 메일을 발송할 때 암호화된 HTML 형태로 파일을 첨부하고, 별도 비밀번호를 입력해야만 상세 내용을 볼 수 있도록 보안기능을 적용해 사용 중입니다.

 

 

[그림 1] 통일부 보안 메일로 위장한 해킹 공격 시도 화면

이번에 포착된 새로운 공격은 통일부에서 작성한 보안용 HTML 파일에 악성 명령을 은밀히 추가 삽입한 것으로 조사됐으며, 실제 비밀번호를 입력해야만 본문 내용이 보여지는 것으로 분석됐습니다. 하지만 비밀번호를 입력하기 이전 시점에 악성코드 명령이 먼저 작동하도록 제작했기 때문에 파일을 실행하는 즉시 위협에 노출되는 것으로 드러났습니다.

해당 공격을 긴급 분석한 이스트시큐리티 시큐리티대응센터(ESRC)는 국내 특정 해운 항공 회사의 웹 사이트가 해킹 공격 경유지로 악용된 사실을 처음 밝혀냈고, 해당 위협 활동의 전술과 프로세스, 속성 등을 종합한 결과 작년 2월 서울 유엔인권사무소를 사칭해 수행된 공격 수법과 정확히 일치한 것으로 확인했습니다.

당시 서울 유엔인권사무소를 사칭한 공격은 악성 DOCX 문서와 원격 템플릿 인젝션 기법이 쓰였지만, 이번 공격은 통일부의 보안 메일처럼 위장한 HTML 유형의 파일이 사용되었습니다. 그러나 경유지로 연결하는 작업 스케줄러 기법과 악성 PHP 파일 호출의 명령이 동일한 것으로 확인되었습니다.

작년 공격은 작업 스케줄러명이 ‘Report’ 였고, 이번 이름은 ‘config’ 인것으로 확인되었습니다. 그리고 mshta 명령으로 PHP 페이지를 지정해 호출하는 파일이 ‘style.php’, ‘val.php’ 이름으로 각각 다르지만, 내부 VB스트립트 인코딩 방식과 패턴은 동일한 것으로 확인되었습니다.

 

 

[그림 2] 서울 유엔인권사무소 사칭 공격과 통일부 사칭 공격 명령 비교 화면

이번 공격은 실제 개최될 토론회의 일정에 맞춰 시기 적절한 타이밍 공격을 수행한 것이 특징이며, 작년 8월 북한 해킹 사건을 조사하던 현직 경찰 공무원의 신분증을 도용했던 북한 발 위협 사례 와도 동일한 공격 수법을 사용한것이 확인되었습니다.

연초부터 북한 소행으로 지목된 해킹 공격이 연이어 발견되고 있는 만큼, 국가 사이버 안보에 각별한 관심과 주의가 필요한 시점입니다.

이스트시큐리티는 해당 악성 파일의 탐지 기능을 자사 알약(ALYac) 제품에 긴급 업데이트 했으며, 피해 확산 방지를 위해 국가사이버안보협력센터(NCCC)와 한국인터넷진흥원(KISA) 등 관련 부처와 긴밀하게 협력중에 있습니다. 

 

IoC

DF8B05C389AC9D1B07D2F825EFE6512D
8CAE06EF26D06863701C78240B2C6535
taedusa[.]com/bbs/data/e_bbs31/val.php
taedusa[.]com/bbs/data/e_bbs31/opf.php