ZDNet 검색 페이지

'김수키'통합검색 결과 입니다. (10건)

韓 향한 사이버공격 '빈번'…10건 중 8건은 北 소행

최근 우리나라를 대상으로 한 사이버공격이 빈번해진 가운데 10건 중 8건이 북한의 소행인 것으로 파악됐다. 22일 로그프레소가 아홉 번째 발간한 사이버 위협 인텔리전스(CTI, Cyber Threat Intelligence) 리포트에 따르면 국가정보원은 지난해 우리나라 공공기관을 대상으로 한 사이버공격이 일평균 162만 건 정도 발생한 것으로 파악했다. 이 중 80% 정도를 북한발 해킹으로 분류했다. 로그프레소는 북한발 사이버 공격 사례와 실제 해커의 이메일 정보를 분석해 실제 북한의 소행인지 이번에 분석했다. 현재 북한은 아시아 태평양 네트워크 정보센터(APNIC, Asia-Pacific Network Information Centre)에서 공식적으로 할당받은 IP 대역과 러시아 및 중국 통신사가 제공하는 IP 대역을 사용 중이다. 북한에서도 인터넷을 이용하고 있으나 극히 제한적인 사용자만 외부 인터넷에 접속할 수 있다. 로그프레소는 전 세계에서 수집한 OSINT(Open Source Intelligence)를 활용해 공격자에 대한 분석을 시행했다. 과거 한국의 주요 공공기관을 공격했던 악성코드를 분석한 결과, 사이버 공격자가 북한과 직접적으로 연관된 특정 이메일 계정과 IP 대역을 이용했음을 확인할 수 있었다. 또 로그프레소는 미국 연방수사국(FBI)이 공소장에 공개한 북한 해커 박진혁의 이메일 주소를 확보해 이를 분석했다. 해당 정보를 근간으로 실제 북한 해커들이 사용했던 이메일 계정과 패스워드를 확인했으며 북한에 할당된 IP 대역을 통해 공격한 사실을 공개했다. 과거에는 악성코드를 분석해 공격 그룹을 조사했으며 C2 서버 관련 계정, IP 및 도메인 등을 활용해 추가 공격을 방어했다. 그러나 최근 들어 공격자들이 악성코드 정보에 다른 사람이나 집단의 정보를 사칭하는 위장 전술을 사용하면서 공격 그룹을 특정하기 위해서는 다각적인 분석 방법이 필요해지고 있다. 장상근 로그프레소 연구소장은 "사이버 공격이 첨예화되면서 이에 대응하기 위한 분석 기술 또한 고도화되고 있다"며 "사이버 공격과 공격자 집단을 효과적으로 연구하기 위해서는 OSINT 관점도 활용해야 할 것"이라고 말했다. 이번 CTI 리포트에서는 최근 발생했던 국내 대학교의 개인정보 유출 사고 사례도 함께 다뤘다. 대다수 기업과 기관들이 담당자를 채용해 보안관리 업무를 수행하고 있음에도 불구하고 즉각적인 조치가 어려운 이유와 기존 보안솔루션의 한계를 개선하기 위한 방안을 함께 소개했다. 로그프레소 관계자는 "근무 시간 외에 주말과 새벽, 공휴일 등에 이루어지는 공격에도 효과적으로 대응하기 위해서는 SOAR(Security Orchestration, Automation and Response) 도입을 추천한다"며 "보안 운영 업무를 자동화하고 표준화해 사이버 공격에 대응하는 평균 시간 'MTTR(Mean Time To Respond)'을 줄이는 것이 핵심"이라고 설명했다.

2024.10.22 16:07장유미

"김수키와 수법 비슷"...시스코, 북한 해커그룹 추가 정황 포착

북한 해커그룹이 새로운 해킹 프로그램으로 사이버 공격을 진행한 정황이 포착됐다. 해당 수법은 코드네임 '김수키'라는 기존 북한 해커그룹과 비슷한 것으로 전해졌다. 22일 미국 시스코 탈로스는 북한 해커그룹 'UAT-5394'가 '문피크(MoonPeak)'라는 새 해킹 프로그램 사용한 것을 포착했다고 밝혔다. 현재 사이버 공격 대상은 알려지지 않았다. 문피크는 원격 접근 트로이목마(RAT)로 이뤄진 해킹 프로그램이다. 해커는 이 프로그램으로 컴퓨터나 시스템에 들어가 정보를 탈취하거나 원격 제어를 할 수 있다. 문피크는 기존 악성 프로그램 제노RAT 변종판인 것으로 확인됐다. 시스코 탈로스는 해커 그룹이 강력한 해킹 프로그램 개발을 위해 문피크에 새 인프라를 적용했다고 분석했다. 해커들은 합법적인 클라우드 서버 사용을 멈추고 자체 서버 C2를 구축했다. 그동안 다수 해커는 제노RAT 등을 이용할 때 드롭박스나 구글드라이브 같은 일반적인 클라우드 서비스를 사용했다. C2 서버는 해킹에 필요한 악성 파일을 제공한다. 해커들은 이 서버를 통해 새 해킹 도구와 응용프로그램을 만들 수 있다. 이에 탈로스는 문피크에서 나온 새 악성 프로그램들이 더 복잡해지고 분석하기 어려워졌다고 밝혔다. 해킹에 대응할 수 있는 새 방안이 필요하다고 봤다. 시스코 탈로스 관계자는 "UAT-5394는 기존 해커그룹 김수키처럼 피싱을 통한 악성 소프트웨어 배포, RAT 활용, C2 서버를 통한 명령 전달 및 데이터 탈취 수법을 활용한다"며 "UAT-5394가 실제 김수키 또는 그 하위 그룹이거나 북한 사이버 기구 내에서 김수키 해킹 도구를 차용한 새 해킹 그룹일 수 있다"고 유추했다. 이어 "해킹그룹은 새로운 인프라를 통해 문피크 공격성을 꾸준히 높이고 있다"며 "해킹 분석을 방해하기 위한 추가적인 난독화 기술과 비인가 연결 방지를 위한 통신 메커니즘을 업그레이드했다"고 평가했다.

2024.08.22 09:46김미정

"구글이 보낸 메일이 아니네?"…교묘해진 北 해킹에 美 정부 사이버보안 '경고'

북한 해커들의 움직임이 갈수록 지능화되고 교묘해지고 있는 가운데 구글, 하버드대 등의 메일 주소를 사칭한 '이메일 피싱'이 최근 활발히 진행되고 있어 주의가 요구된다. 4일 업계에 따르면 미국 국무부와 연방수사국(FBI), 국가안보국(NSA)은 지난 2일 '북한 공격자들의 DMARC 정책을 악용한 스피어피싱에 주의'라는 제목의 공동 입장문을 내놨다. 이 입장문에는 북한 해커조직 '김수키(Kimsuky, APT43)'가 지난해부터 최근까지 시도해 온 공격 사례와 방식을 분석한 내용이 포함됐다. DMARC란 '도메인 기반 메시지 인증·보고·규정 준수(Domain-based Message Authentication, Reporting and Conformance)'의 줄임말로, 현재 전 세계에서 가장 보편적으로 쓰이는 이메일 도메인 보안 수단이다. 입장문에 따르면 김수키는 DMARC 인증의 취약점을 파악한 후 세계적으로 저명한 도메인들을 사칭에 활용했다. 구글, 하버드 대학이 대표적으로, 이들의 주소를 이용해 가짜 설문 조사, 행사 개최 이메일을 발송했다. 이를 통해 답변과 정보를 수집하거나 악성 코드가 포함된 첨부파일을 전송했다. 지난해 말부터 올 초까지 미국 정부, 국제기구 관계자들에겐 '미국의 대북 정책 컨퍼런스'라는 제목으로 이메일을 보내기도 했다. 직접 참석하면 교통비·숙박비를 지원하고 강연료 500달러를 제공한다는 내용이 포함됐으나, 모두 가짜였다. 첨부 파일을 여는 순간 악성 코드가 깔렸고 북한 해커들은 정보를 탈취했다. 3개 기관은 "북한은 세계 각국의 외교 전략과 경제 정책은 물론 학계의 연구 동향, 기업 간 통신과 주요 기업인의 사문서에 이르기까지 광범위하게 정보를 수집한 것으로 보인다"며 "단순히 도메인을 사칭하는 것을 넘어 언론인과 학자, 동아시아 문제 전문가 등 개인을 위장한 사례도 있어 주의를 요한다"고 밝혔다. 미국 국무부는 권고문을 통해 "미국 정부는 북한의 사이버 해킹 조직들의 지속적인 정보 수집 시도를 관찰해 왔다"며 "유엔 안보리 제재를 받은 북한의 군사정보 조직 정찰총국이 이런 활동의 주 책임 부서로 파악된다"고 말했다. 이번에 언급된 김수키는 에메랄드 슬릿(Emerald Sleet), APT43, 벨벳 천리마, 블랙 반시 등의 이름으로도 알려진 북한의 대표적인 사이버 해킹 조직이다. 지난 2023년 6월 한국 정부 대북제재 명단에도 별도로 등록된 악명 높은 조직으로, 한국수력원자력과 한국항공우주산업 등 공공기관에 해킹을 자행해왔다. 업계에선 북한의 목표가 한국이나 미국을 포함한 관련 국가의 최신 정보에 지속적으로 접근해 북한 정권 안보에 영향을 미칠 수 있는 정치적·군사적·경제적 조치를 방해하는 것이라고 봤다. 업계 관계자는 "북한은 스피어피싱(특정 목표의 정보를 캐내기 위한 피싱) 공격을 통해 표적에 접근한 뒤 외교 정책, 전략 등 북한의 이익이 걸린 다양한 정보 수집을 시도하고 있는 것으로 보인다"고 말했다. 3개 기관은 이메일 메시지가 해당 조직의 도메인에서 정상적으로 전송됐는지 여부를 인증하는 보안 프로토콜 DMARC의 정책적 강화를 권고했다. 개리 프레아스 구글 클라우드 맨디언트 수석 애널리스트는 "북한 정부와 해킹 조직의 사이버 공격 사례들을 분석해본 결과 미국과 동맹국들의 핵 무기 확산, 관련 규제 등에 대한 동향을 사전 수집하려는 의도가 있음을 파악했다"며 "DMARC 정책을 안전하게 갖춰 놓으면 피싱 등을 효과적으로 방지하는 데 큰 도움이 된다"고 밝혔다. 네일 쿠마란 지메일 그룹 제품 매니저는 "DMARC와 같은 표준은 이메일 발신자뿐만 아니라 수신자에게도 메시지의 출처와 진위 여부에 대한 신뢰를 심어주는 데 도움이 된다"며 "최근 수십억 명의 지메일 사용자를 안전하게 보호하기 위해 대량 발신자에게 DMARC 및 기타 주요 보안 및 인증 표준을 구현하도록 요구하기 시작했다"고 설명했다. 3개 기관은 '악의적인 북한 사이버 해킹 징후일 수 있는 위험 신호'로 ▲문장 구조가 어색하거나 문법이 틀린 영어 이메일 ▲이름과 이메일 주소 철자가 미묘하게 이상이 있는 이메일 ▲과거 정상적으로 주고받은 메시지 일부 내용과 텍스트가 포함돼 있는 이메일 등을 주의하라고 권고했다. 미 정보 당국은 "DMARC 정책을 안전하게 갖춰 놓으면 김수키와 같은 악의적 행위자가 공격 대상에게 스피어피싱 메시지를 보낼 때 해당 조직의 정상적 이메일 도메인 도용을 막을 수 있다"며 "DMARC 정책을 업데이트하고 사이버 보안 태세를 강화해야 한다"고 강조했다.

2024.05.04 11:00장유미

오픈AI "北 해킹조직 김수키, LLM 사용 확인...즉시 차단"

오픈AI가 북한의 해킹 조직 김수키가 대규모 사이버 공격에 인공지능(AI) 서비스를 사용한 정황을 확인하고 이를 제재했다고 밝혔다. 14일(현지시간) 실리콘앵글 등 외신에 따르면 마이크로소프트와 오픈AI는 인공지능(AI)관련 보안 리포트를 발표했다. 두 회사는 이번 리포트를 통해 사이버 공격에 AI서비스를 악용한 계정 5개를 차단했다고 밝혔다. 오픈AI는 조사결과 북한, 러시아, 중국 등 국가산하 해킹 조직에서 해당 계정을 사용한 것으로 나타났다고 발표했다. 더불어 재발 방지를 위해 해당 조직에서 사이버 공격에서 LLM을 악용한 방식까지 공개했다. 에메랄드슬릿으로도 알려진 북한의 해킹조직 김수키는 LLM을 이용해 여러 기업 및 사이버 보안 도구를 조사한 것으로 나타났다. 또한 해킹에 필요한 코드를 디버그하가니 스크립트를 생성하고, 피싱 공격에 사용할 수 있는 이메일 등의 콘텐츠 초안을 제작한 정황이 확인됐다. 마이크로소프트와 오픈AI는 김수키에 대해 지난 한해 매우 활발하게 활동한 해킹조직이라며, 스피어 피싱 이메일을 사용해 북한에 대한 전문 지식을 갖춘 저명한 개인으로부터 정보를 수집하고 있다고 설명했다. 이 밖에도 러시아 군사 정보 기관인 GRU 26165와 연계된 프로스트 블리자드와 이슬람혁명수비대(IRGC) 산하의 크림슨샌드스톰 등이 LLM을 악용한 것으로 나타났다. 이들은 주로 피싱 공격용 이메일을 생성하거나 탐지 회피 프로그램 개발 등에 LLM을 사용하는 것으로 나타났다. 마이크로소프트와 오픈AI는 AI 서비스에 대한 모니터링과 해킹 조직 추적을 통해 사이버 공격에 대한 위협을 지속적으로 제한할 것이라고 밝혔다. 오픈AI 측은 “악의적인 국가산하 해킹조직들의 AI 플랫폼 사용을 막기 위해 다각적인 접근 방식을 취하고 있다”며 “해킹 조직에 대한 지속적인 행동 추적을 비롯해 업계 관계자와 끊임 없이 보안 정보를 교류하고 투명성을 확보하려 하고 있다”고 밝혔다. 마이크로소프트 측은 “챗GPT 같은 AI기술을 안전하고 윤리적으로 사용할 수 있도록 지원하는 것이 우리의 목표”라며 “이를 위해 사용자 계정을 보호하고, 외부 침입을 막기 위한 방어자 역량을 강화하는데 전념하고 있다”고 말했다.

2024.02.15 08:54남혁우

한국 시민단체 노린 트로이 목마 '슈퍼베어' 등장

한국 시민 사회단체를 표적으로 피싱 공격을 시도하는 새로운 원격접속 도구(RAT) 악성코드가 발견됐다. 최근 해커뉴스 등 외신에 따르면 튀르키예의 보안 비영리단체 인터랩은 고도로 특화된 피싱 공격을 탐지했다고 보고서를 발표했다. 보고서에 따르면 해당 공격은 특정 수신자가 문서를 열도록 하는 유도 기술이 적용됐다. 악성코드를 분석한 결과 '슈퍼베어'라는 RAT가 확인됐다. 코드 분석 결과 북한 해킹그룹 김수키에서 사용한 코드와 유사점이 있었던 것으로 나타났다. 또한 특정 조직 구성원으로 사칭해 언론인을 노렸다는 점에서 지속적으로 반복된 한국 시민사회단체를 노린 공격의 일환으로 분석된다. 이 RAT는 난독화 기술을 활용하여 파워셸을 실행시킨 후 프로세스 및 시스템 데이터 유출하거나, 악성 DLL을 다운로드하도록 지시해 시스템을 감염시킬 수 있다. 인터랩은 이번 공격에 대해 북한 해킹그룹에서 시도하지 않았던 새로운 공격 방식이라며, 최근 오픈소스 도구를 악성 코드에 활용하는 등 많은 변화가 있다는 점은 보안 강화를 위해 주목할 부분이라고 강조했다.

2023.09.04 15:02남혁우

"북한 해킹그룹, 더 공격적이고 유연해졌다"

북한의 해킹그룹들이 최근 들어 좀 더 공격적이고 규모가 큰 공급망 공격에 집중하고 있다는 분석이 제기됐다. 구글 보안 자회사인 맨디언트의 루크 맥나마라 수석 애널리스트는 29일 서울 강남 역삼동 강남파이낸스센터에서 개최한 미디어 브리핑을 통해 북한 해킹 그룹의 최근 동향을 발표했다. 맨디언트는 지난 4월 김수키 또는 탈륨으로 알려진 북한 해킹 그룹을 지능형지속위협(APT) 그룹으로 승격하며 APT43으로 명명했다. 더불어 이들의 주요 활동을 지속적으로 추적하고, 성향을 분석했다. 루크 맥나마라는 APT43의 주요 미션은 정보수집이라고 설명했다. 특히 핵과 관련된 정보를 수집하는 것이 주요 임무라고 소개했다. 그는 새로운 핵실험을 진행하거나, 미사일을 발사할 경우 APT43의 활동이 활발해지는 것을 확인할 수 있었다고 밝혔다. 또 “북한에는 다양한 해킹 그룹이 있으며 각 그룹에 따라 담당하는 역할이 다르다”며 “예를 들러 라자루스 그룹은 가상화폐 탈취를 통한 수익 창출이 주요 미션이며, APT37은 탈북자를 추적하거나 탈북자를 지원하는 한국단체를 노리는 방첩 활동에 집중한다고 할 수 있다”고 설명했다. 맨디언트는 최근 북한 해킹 그룹의 행동과 공격 방식에 변화가 생겼다고 밝혔다. 핵 관련 정보를 최 우선으로 했던 것과 달리 최근엔 상황에 따라 타깃이 유동적으로 변화하는 것으로 나타났다. 루크 맥나마라는 이를 통해 북한의 체제에서 우선순위가 변경되고 있다는 것을 예측할 수 있을 것이라고 분석했다. 그는 “예를 들어 코로나19 확산 시기에는 제약, 의료 기술관련 정보 수집 활동이 급격하게 발생하고, 어느 순간 종자 관련 농업 기술을 노린 공격이 집중적으로 일어나기도 했다”며 “이런 내용을 통해 북한 정권 수뇌부에서 어떤 목적을 가지고 지령을 내렸는지 추측이 가능한 상황”이라고 말했다. 공격 방식에서도 변화가 생겼다. 악성코드가 담긴 위장 메일이나 설문조사 등으로 주요 요인 등의 정보를 탈취하는 피싱 방식은 그대로 이어지지만, 새롭게 보다 대규모 공격 방식인 공급망 공격이 추가됐다. 상반기 VoIP 솔루션 기업 3CX와 ID엑세스 솔루션 기업 점프클라우드의 공급망을 공격해 가상화폐를 탈취하려 했으며, 국내에서도 공급망 공격을 시도한 사례가 확인됐다. 맥나마라는 “공급망 공격의 목적은 다양하지만 굉장히 많은 기업이나 조직에 잠재적으로 침투해 이중 자신들이 원하는 목표를 찾을 수 있다는 것이 중요하다”며 “솔라윈즈 공격 사례도 실제 멀웨어가 심어진 최종 타깃은 상당히 많은 단계를 거친 후에야 찾을 수 있었던 소수의 정부 기관과 국방 관련 기업이었다”고 설명했다. 그는 “2022년 데이터를 기반으로 각국이 사이버 위협에 노출되어 있는지 평가한 바에 따르면 한국은 미국과 우크라이나에 이어 3위에 오를 정도로 상당히 높은 수주의 사이버 위협에 직면하고 있다”고 강조했다. 이러한 위기는 북한의 공격과 러시아와 우크라이나 사이의 전쟁, 반도체 기술 등을 노린 중국의 공격 등 지정학적인 요인이 큰 것으로 나타났다고 설명했다. 루크 맥나마라는 앞으로 많은 해커들이 탈취한 인증정보를 악용하거나 노출된 취약점 그리고 생성AI를 이용한 가짜 이미지나 영상 등을 악용할 가능성이 높은 만큼 이를 대비하기 위한 보안환경을 갖춰야 한다고 강조했다.

2023.08.29 14:22남혁우

급증하는 해킹, 민·관 보안 강화하는 IT서비스

해킹, 기밀 탈취 등 사이버공격이 국가와 기업을 위협하는 핵심 위험요소로 지목되고 있다. 최근 한국과 미국 정보기관은 민관을 대상으로 위성 및 국방 관련 정보를 탈취해 온 북한 해킹 그룹 김수키(Kimsuky)를 대상으로 보안주의보를 내리기도 했다. 사이버공격을 차단하고 정보보호가 화두로 떠오르면서 IT서비스기업들은 정부 기관과 고객사의 보안을 강화하기 위해 대규모 인프라를 투입하고, 보안 역량을 강화하고 있다. 19일 관련 업계에 따르면 삼성SDS, LG CNS, CJ 올리브네트웍스 등은 보안관련 전략을 새롭게 구축하고 관련 캠페인을 실시한다. 삼성SDS는 클라우드 보안을 올해 기업 사이버 보안 최대 화두로 선정하고 클라우드 관련 모든 보안 환경을 구축하는 클라우드 통합 보안 플랫폼(CNAPP)을 선보인다. 클라우드 통합 보안 플랫폼은 디지털 전환이 본격화되며 증가하는 클라우드 위협에 대응하기 위한 보안서비스다. 퍼블릭 클라우드 서비스(CSP), 클라우드 관리(MSP)를 비롯해 클라우드 상에 구축한 앱과, 데이터, 인프라까지 전 영역을 통합 관리 및 보호할 수 있는 통합 환경을 제공한다. 특히, 해커들의 주요 공격 경로인 위장 메일 등으로 관계자 정보 및 계정을 탈취하는 스피어 피싱을 막기 위해 통합 인증 및 계정관리 솔루션을 강화했다. 회사 서버에 접근한 접속자의 위치와 시간, 단말 종류 등을 분석해 이상 행위를 탐지하고, 생체정보, OTP 등 다양한 보안 인증을 결합한 복합 인증(MFA)으로 침입을 방지한다. 이 밖에도 데이터 및 인프라를 암호화 후 몸값을 요구하는 랜섬웨어와 소프트웨어(SW) 배포 관리망을 공격해 대규모 피해를 야기하는 공급망 공격을 막기 위한 대응체계도 제공한다. 더불어 최근 빠르게 발전하는 오픈소스와 인공지능(AI) 기반 사이버 공격에 대응할 수 있는 방안도 지속적으로 연구 중이다. LG CNS는 마이크로소프트(MS)와 체결한 애저 오픈AI 서비스를 기반으로 챗GPT 등 생성AI를 활용한 보안 아키텍처를 선보일 예정이다. 이를 통해 점점 복잡하고 까다로워지는 보안 환경을 간단하고 신속하게 대응할 수 있는 기반을 마련할 계획이다. 마이크로소프트에서 선보인 시큐리티 코파일럿처럼 최신 정보를 AI가 지속적으로 학습하고 개선하며, 보안팀은 이를 시각화된 데이터를 통해 직관적으로 파악할 수 있다. 유지할 수 있도록. 까다로운 보안 작업과 앱을 지원하기 위해서는 가장 진보한 오픈AI 모델에 대한 접근권을 제공한다. 위협에 대한 시큐리티 코파일럿의 가시성은 고객 조직의 보안 데이터와 마이크로소프트의 방대한 위협 분석 결과를 통해 확보된다. 또한 팀 전반의 지식 격차를 해소하고 워크플로와 위협 행위자 프로필, 인시던트 보고 기능을 개선해 사이버 보안의 스킬 부족 문제를 해결할 수 있도록 지원한다. 이를 통해 모든 규모의 보안팀은 보다 더 큰 조직의 보안 기술과 능력을 갖출 수 있도록 돕는다. LG CNS는 마이크로소프트 솔루션을 활용해 탐지대응관리(MDR) 플랫폼 개발도 실시한다. MDR은 위협 요소를 사전에 분석·발견해 대응하는 서비스로 해킹이나 랜섬웨어 등 공격을 AI가 학습해 반복적인 피해를 방지할 수 있도록 비슷한 위협을 탐지하고 대응 방안을 제시한다. CJ올리브네트웍스는 보안 역량이 부족한 중소·중견기업 지원에 나섰다. 한국인터넷진흥원(KISA), 파인더갭과 함께 중소·중견기업 보안 컨설팅 및 솔루션, 교육 서비스를 무료로 제공하는 화이트햇 투게더 프로그램을 실시한다. 참가 신청 기업은 요청사항에 따라 정보보호 컨설팅 및 보안솔루션 제공 등을 선택할 수 있으며, 양쪽 다 버그바운티에도 참여할 수 있다. 버그바운티는 참가 기업의 소프트웨어나 웹서비스 등을 가상 환경에서 화이트해커가 해킹해 취약점을 찾고 보안 조치 방법을 제공하는 대회다. 함께 참가하는 파인더갭에서 주도하며 버그를 찾는 개수와 취약점의 위험성에 따라 화이트해커에게 상금이 제공된다. CJ올리브네트웍스는 프로그램 외에도 기업을 대상으로 모의해킹, 보안 취약점 진단, IT인프라 서비스 보안 등 다양한 해킹방지 서비스를 제공 중이다. 한 IT서비스 업계 관계자는 “그동안 보안 서비스는 일종의 보험과 같은 느낌으로 우리 회사는 괜찮을 것이라는 인식이 있어 투자가 상대적으로 덜된 분야였다”며 “하지만 최근엔 워낙 사이버 공격이 급증하고 디지털 전환 이후 사업비중의 상당수가 IT와 관련된 만큼 많은 기업에서 IT보안에 많은 신경을 쓰고 있는 상황”이라고 설명했다.

2023.06.19 13:17남혁우

美·韓 정보기관, 북 해킹그룹 '김수키' 보안주의보

한국과 미국의 정보기관이 북한 해커의 사이버공격에 대한 보안 주의보를 발표했다. 최근 해커뉴스 등 외신에 따르면 미국 국가안보국(NSA)은 미 국무부(DOS), 연방수사국(FBI)을 비롯해 대한민국 외교부, 경찰청, 국가정보원과 협력해 북한 해킹그룹 김수키(Kimsuky)를 대상으로 보안주의보를 내렸다. 이번 보안주의보는 북한 정부에서 지원하는 해킹그룹을 제재함으로써 북한 정권의 정보수집 활동을 제한하기 위함이다. 이에 우리 정부는 지난 2일 '김수키'를 독자 대북제재 명단에 올렸다. 롭 조이스 NSA 사이버 보안국장은 “김수키 등 북한 해커는 한국의 안보관련 정보를 수집하기 위해 언론인, 학자, 공무원 등을 대상으로 공격을 집중하고 있다”며 "미국과 한국 정부는 이런 해커조직이 북한 정권에 광범위한 정보 수집 및 스파이 능력을 제공한다는 것을 지속적인 정보 수집을 통해 확인했다"고 성명서를 통해 밝혔다. 이어서 "해커의 타깃이 된 일부 기관은 자신의 연구와 보안환경의 중요성을 인식하지 못해 이런 공격으로 인한 위협을 과소평가할 수 있지만, 북한은 이 정보에 크게 의존하고 있다”며 “보안주의보는 북한의 사이버공격에 대응하기 위한 한미 정보기관 실무 그룹의 구체적인 노력의 결과이자 보안의 중요성을 인식시키기 위한 새로운 계기”라고 강조했다. 보안주의보에서 주요 해킹그룹으로 지목된 김수키는 북한의 정보기관인 정찰총국(RGB) 산하에 소속된 것으로 알려졌다. 2012년부터 APT37, 탈륨, 벨벳천리마 등 여러 활동명을 사용해 한국의 공공 및 민간 기업을 비롯해 정치인, 정부 관계자, 언론인, 인권 활동가, 탈북자 등을 노려 수집한 정보를 북한 정부에 전달했다. 외교부는 김수키가 2014년 한국수력원자력 해킹, 2021년 서울대병원 개인정보 유출을 비롯해 한국항공우주산업 분야를 해킹해 국내 무기와 인공위성, 우주 관련 첨단기술을 빼돌려 북한의 위성 개발에 직간접적인 관여해왔다고 밝혔다. 또한 훔친 개인정보나 기관의 컴퓨팅 파워를 이용해 채굴한 암호화폐로 자금지원도 참여한 것으로 나타났다. NSA는 정치인, 정부 관계자, 언론인 등 북한 해커의 타깃이 될 수 있는 관계자들은 사이버공격을 막기 위해 항상 보안프로그램을 최신화하고, 접근하는 상대의 위장 방식을 숙지하는 캠페인을 진행할 것을 권고했다. 성명서에 따르면 해커들은 언론인이나 방송 작가로 위장하거나 또는 훔친 개인정보를 이용해 인터뷰, 설문조사 또는 연구논문 작성을 요청하는 식으로 접근한다. 경계심을 풀기 위해 초기 이메일에는 악성코드 등을 포함하지 않는다. 하지만 이후 공식 웹사이트로 위장한 도메인으로 유도하거나 악성코드가 담긴 문서 등을 이용해 PC를 감염시킨다. NSA는 “조직 내에서 지속적인 보안 훈련으로 웹사이트를 방문하거나 첨부파일을 열 때의 위험에 대한 인식을 높여 피싱 공격에 대한 사용자 반응을 강화해야 한다”며 “특히 원격 시스템이 활성화된 지금 다중 인증(MFA)과 가상 데스크톱 인프라(VDI) 등을 적용해 잠재적인 위협을 철저히 차단해야 한다”고 강조했다.

2023.06.04 19:19남혁우

국세청 사칭 '세무조사 출석요구 안내문' 공격 주의…北 배후 추정

국세청이 보낸 것처럼 조작해 세무조사 출석요구 안내문을 발송하는 해킹 공격이 나타났다. 통합 보안 기업 이스트시큐리티는 17일 비트코인 등 가상 자산 분야 투자자들 상대로 사이버 공격이 포착되고 있다며 각별한 주의를 당부했다. 특히, 이번 공격은 지난 12일 국세청 공식 홈페이지 공지 사항을 통해 알려진 '국세청 사칭 「세무조사 출석요구 안내통지문」 해킹메일 주의 안내' 내용을 통해 수행된 해킹 공격의 일환인 것으로 밝혀졌다. 해당 공격은 지난 12일 경, 마치 국세청에서 발송된 안내문으로 위장했으며, 이메일은 '[국세청] 세무조사 출석요구 안내통지문' 제목을 담고 있다. 발신자는 '국세청 ' 주소로 진짜처럼 보이게 정교하게 조작 후 공격을 수행한 것으로 드러났다. 보통 해킹 메일을 구분하는 방법 중 하나가 발신지의 공식 주소 여부를 확인하는 것인데, 공격자는 이메일 발송 서버를 구축하거나 별도의 설정을 통해 실제 주소처럼 보이게 조작할 수 있다. 이스트시큐리티는 "실제 주소를 도용하는 경우도 있으므로 발신지 주소만으로 100% 신뢰해서는 안된다"고 말했다. 이번 공격은 실제 국세청 홈택스의 세무조사 신고 통지문처럼 본문을 담고 있으며, '세무조사 신고서류안내.pdf' 문서 파일이 첨부된 것처럼 보여진다. 하지만 '세무조사 신고서류안내.pdf' 파일은 실제 메일에 첨부된 상태가 아니고, 한국의 특정 경제문화교류협회 사이트와 통신한 후, 네이버 계정 피싱용 ▶'navearcorps[.]help', ▶'mybox-naves[.]com' 서버로 연결해 계정 탈취를 시도한 것으로 확인됐다. 이스트시큐리티 시큐리티대응센터(ESRC)에 따르면, 해킹 경유지로 사용된 공격자 서버에는 특정인의 주민등록증, 운전면허증, 사업자등록증 등도 함께 발견됐다. ESRC는 "가상 자산 투자자 일부가 피싱 공격을 입은 후 이메일에 저장된 개인정보가 추가 유출됐을 가능성에 무게를 두고 후속 분석 작업을 진행 중"이라고 밝혔다. 이어 "만약 피싱 공격에 속아 수신자가 암호를 입력해 유출되면, 실제 국세청 출석 시 필요한 세무조사 신고 안내 PDF 문서를 보여주는 등 나름 치밀하게 공격을 진행하기 때문에 피해자는 해킹 공격에 노출된 사실을 인지하는데 다소 시간이 걸릴 수 있다"고 설명했다. 공격에 악용된 'navearcorps[.]help' 서버는 '27.102.101.26' 아이피 주소로 연결돼 있는데, 작년 4월 경 'goooglesecurity[.]com' 주소를 포함해 'naaverascorp[.]com', 'naversinfo[.]help', 'nidnavesecorp[.]help', 'ninavaracorp[.]site', 'mybox-navers[.]com', 'infonavera[.]com', 'nidnaavers[.]com' 주소 사용 이력이 존재한다. 당시 일부 도메인이 북한 연계 해킹 그룹인 '탈륨' 또는 '김수키'에서 사용한 것으로 보고된 바 있다. 이스트시큐리티는 "북한 소행으로 지목된 사이버 위협이 공신력 있는 국세청을 사칭해 연초부터 해킹 공격을 시도하고 있다는 점이 주목할 만하며, 일각에선 통일분야 문서를 사칭한 공격도 보고되고 있다"고 말했다. 이어 "확인된 피해 대상자가 주로 비트코인 등 가상 자산 분야 투자자라는 흥미로운 공통점이 발견되고 있어, 외화벌이 목적으로 진행된 북한 배후 사이버 공격으로 추정하고 있다"고 말했다. 이스트시큐리티 ESRC 센터장 문종현 이사는 “금번 국세청 문서처럼 위장한 포털 계정 피싱 공격뿐만 아니라, 세무조사 신고 서류 안내와 출석 요구처럼 위장한 악성 파일도 다수 보고된 바 있는데, 해당 공격은 일명 '코니(Konni)' 캠페인으로 분류돼 있다”며 “탈륨(김수키) 공격과 코니 캠페인 간의 연관성을 면밀히 조사 중이다”라고 덧붙였다. 이스트시큐리티는 연관 악성 파일의 탐지 기능을 자사 알약(ALYac) 제품에 긴급 업데이트했으며, 피해 확산 방지를 위해 국가사이버안보협력센터(NCCC)와 한국인터넷진흥원(KISA) 등 관련 부처와 긴밀하게 협력하고 있다고 밝혔다.

2023.01.17 10:25황정빈

"북한 해킹조직 '김수키', 다음 이메일로 위장한 피싱 공격 시도"

북한의 해킹 조직 '김수키(Kimsuky)'가 비밀번호 탈취 공격을 시도한 것으로 나타났다. 16일 정보기술(IT)업계에 따르면 사이버 보안업체 이스트시큐리티는 지난 13일 김수키 조직이 카카오 피싱 공격을 진행 중이라는 내용의 악성코드 분석 리포트를 게시했다. 리포트에 따르면 이번에 발견된 피싱 메일은 '[긴급] 지금 바로 비밀번호를 변경해 주세요.' 제목으로 유포됐으며, 현재는 서비스가 종료된 다음 이메일을 위장한 것으로 나타났다. 이메일 본문에는 수신자의 계정정보 도용이 의심된다며, 비밀번호 변경을 유도하는 내용과 함께 하이퍼링크가 포함됐다. 공격자는 발신자 도메인을 daurn.net 도메인을 사용하여 daum 도메인처럼 보이려고 시도했다. 해당 이메일에는 '그림 자동 다운로드 옵션'이 활성화 되어있는 경우, 사용자 정보를 제작자에게 전달하는 코드가 포함됐다. 다만 이스트시큐리티는 width:0px;height:0px 로 설정돼 있어 실제 이미지는 보이지 않았다고 설명했다. 이스트시큐리티는 "MS의 아웃룩이나 지메일의 경우 '그림 자동 다운로드' 옵션 기능이 기본적으로 비활성화돼 있어 사용자가 직접 그림 다운로드 안내창을 눌러야 하지만, 국내 대표 포털 메일의 경우 기본적으로 '그림 자동 다운로드' 옵션이 허용돼 있어 이메일 열람과 동시에 사용자 정보가 유출된다"고 설명했다. 이메일 본문 내 링크를 클릭하면, 카카오 로그인 페이지를 위장한 피싱 페이지로 접속된다. 피싱 페이지는 카카오 계정 관리 페이지를 위장하고 있으며, 비밀번호 확인 및 변경을 이유로 비밀번호 입력을 유도한다. 만일 사용자가 피싱 페이지에 비밀번호 정보를 입력하면, 입력한 정보는 고스란히 공격자 서버로 전송된다. ESRC는 "여러 지표들을 분석한 결과, ESRC는 이번 공격 배후에 북한 정찰총국의 지원을 받는 해킹 조직인 김수키가 있는 것으로 결론지었다"며 "기관, 기업 뿐만 아니라 관련 분야의 민간 전문가들 및 민간 단체를 대상으로 한 북한의 사이버 공격이 지속되고 있는 만큼 관련자 분들의 각별한 주의가 필요하다"고 밝혔다.

2023.01.16 08:59황정빈

지금 뜨는 기사

이시각 헤드라인

LG전자, 4개 사업본부 대수술...고객 지향 솔루션 체제로

현대차, 대형 전기 SUV '아이오닉9' 첫 공개…1회 최대 532km 주행

"아태지역, K-콘텐츠가 이끈다"...디즈니, 내년 어떤 작품 선보이나

LG그룹, 2인 부회장 체제 유지…ABC 미래 준비에 집중

ZDNet Power Center