문종현 지니언스 이사
“공격 주체 식별은 단순히 코드만 가지고 얘기하는 게 절대로 아니다. 사람이 남긴 페이스북, 이메일, 인프라 흔적까지 함께 추적해야 비로소 실체가 보인다.”
문종현 지니언스 이사는 4월 7일 서울 코엑스 3층 컨퍼런스룸 E에서 열린 ‘제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)’ 마지막 세션에 올라 이렇게 운을 뗐다. 그는 공격 주체 식별은 악성코드 몇 줄을 분석하는 데서 끝나지 않는다며, 소셜미디어 계정과 언어 습관, 접속 흔적, 공격 인프라, 그리고 시간이 지나도 반복되는 운영 패턴까지 모두 연결해 봐야 비로소 실체가 드러난다고 강조했다. 객석을 향해 10년 전 이야기를 꺼내든 그는, 그 오래된 추적이 최근 다시 나타난 북한 연계 정황과 어떻게 맞물렸는지를 차분하지만 힘 있게 풀어갔다.
이날 K-CTI 2026은 데일리시큐가 주최하고 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA)가 후원한 가운데 열렸으며, 정부·공공기관·지자체·교육기관·금융기관·의료기관·기업의 정보보안 책임자와 실무자 1,000여 명이 참석했다. 문 이사의 강연은 행사 마지막 세션이었지만, 오히려 현장 집중도는 더 높아졌다. 과거 북한 연계 공격의 흔적과 최근 정황이 하나의 이야기로 이어지기 시작하자 청중은 단순한 기술 설명이 아니라, 실제 공격자를 추적하는 수사 기록을 듣는 듯한 긴장감 속에서 발표를 따라갔다.
2015년 페이스북에서 시작된 수상한 접근
문 이사는 이야기를 2015년으로 돌렸다. 자신이 운영하던 페이스북 공간에 ‘이해연’이라는 인물이 접근했고, 당시 관리자 화면에서 확인한 접속지가 평양으로 표시된 것이 첫 단서였다고 설명했다. 처음에는 믿기 어려운 장면이었지만, 이 계정이 남긴 글의 표현과 활동 방식은 일반적인 해외 사용자와는 확연히 달랐다고 했다. 특히 북한식 언어 습관이 드러나는 표현과 특정 대상을 향한 접근 정황이 이어지면서, 그는 이 계정을 단순한 가짜 계정이 아니라 공격을 준비하는 온라인 위장 신분으로 보기 시작했다고 말했다.
추적은 곧 다른 계정으로 이어졌다. 이해연과 같은 배경 사진을 사용한 ‘John Mogabe’, ‘Anna Maria’ 같은 계정이 함께 포착됐고, 이들은 실존 인물의 사진을 도용해 만든 페르소나(위장 신분)로 보였다고 문 이사는 설명했다. 그는 공격자가 존재하지 않는 얼굴을 새로 만들기보다, 이미 대중에게 알려진 실존 인물의 이미지를 끌어다 쓰는 방식으로 신뢰를 확보하려 했다고 분석했다. 더 흥미로운 점은 이 계정들이 한국의 보안 담당자와 시스템 관리자들이 모이는 공간에서 자연스럽게 활동하며, 한국어로 관계를 맺고 접근했다는 점이었다.
문 이사는 당시 공격자들이 단순히 친구 신청만 보내는 데 그치지 않았다고 말했다. 보안 관리자, 시스템 관리자, 관련 업계 종사자들을 상대로 지속적으로 관계를 쌓았고, 특히 이성적 호감을 유발하는 방식으로 접근해 경계심을 낮추는 모습이 자주 관찰됐다고 설명했다. 실제로 그는 당시 많은 사용자가 이런 접근을 큰 의심 없이 받아들였고, 공격자는 그 틈을 파고들어 다음 단계로 넘어갔다고 밝혔다. 강연장에서는 기술적 공격 이전에 사람의 심리를 겨냥하는 사회공학 수법이 얼마나 집요하게 설계되는지를 새삼 실감하게 하는 대목이었다.
페르소나 뒤에 숨은 공격, 실제 유포 행위로 이어져
문 이사의 설명에 따르면 이들 계정은 온라인 관계 형성에만 머물지 않았다. 국내 시스템 관리자들이 모인 구글 그룹 등에서 문서 파일을 공유하며 실제 악성 파일 유포로 이어진 정황이 확인됐다. 한글 문서 취약점을 이용한 공격이 이뤄졌고, 특정 패스워드 구조와 리소스 파일 구성 등에서 북한 연계 공격 그룹 특유의 흔적이 드러났다고 그는 말했다. 결국 이 페르소나는 단순한 미끼 계정이 아니라, 실제 침투 작전의 전방에서 표적을 찾고 신뢰를 확보하며 악성 파일을 전달하는 역할까지 수행한 셈이었다.
그는 이어 존 모가베 계정의 활동을 쫓다가 미국 소니픽처스와 배우 랜달 박과 연결되는 흔적을 확인했다고 설명했다. 소니픽처스 공격 이후 시점이었지만, 이미 이 계정은 소니 관련 인물과 흔적을 남기며 특정 표적과 관계를 맺고 있었다는 것이다. 당시만 해도 그 뒤에 있는 실제 인물이 누구인지 확신할 수는 없었지만, 문 이사는 이 추적 결과를 바탕으로 미국 측과 협력하게 됐고, 그것이 이후 큰 전환점이 됐다고 회상했다.
2018년 박진혁 공개 기소로 이어진 연결선
문 이사는 2017년 미국으로부터 연락을 받아 현지를 방문하게 됐고, 민간 보안업계와 정부 관계자들을 상대로 자신이 추적한 페르소나와 관련 정보를 공유했다고 설명했다. 당시만 해도 그는 ‘이해연’, ‘존 모가베’, ‘안나 마리아’라는 가면 뒤에 누가 있는지 정확히 알지 못했다고 말했다. 그러나 이 정보는 미국 측의 추가 분석과 수사로 이어졌고, 결국 2018년 9월 6일 미국 법무부와 FBI가 북한 국적 박진혁을 공식 기소하며 세상에 공개하는 결과로 연결됐다. 문 이사의 설명은 민간의 장기 추적과 국가 차원의 수사가 어떻게 맞물릴 수 있는지를 보여주는 장면이었다.
그는 한국에서는 북한 사이버 위협을 공개적으로 분석하고 깊이 있게 논의하는 일이 여러 현실적 부담 때문에 쉽지 않다고도 털어놨다. 반면 미국에서는 그런 정보를 보다 적극적으로 수사와 기소, 인프라 차단으로 연결하는 흐름이 분명히 존재했다고 했다. 현장에서는 이 대목에서 단순한 악성코드 기술 분석을 넘어, 위협 인텔리전스가 실제 법 집행과 국제 공조까지 이어질 수 있다는 점이 강하게 전달됐다.
문종현 지니언스 이사 K-CTI 2026 강연 현장
다시 나타난 정진수와 김성철, 10년 전 패턴이 반복
강연은 과거 회고에서 끝나지 않았다. 문 이사는 지난해 말부터 새롭게 눈에 들어온 ‘정진수’, ‘김성철’이라는 페이스북 계정을 소개하며, 10년 전 추적했던 흐름과 너무 닮아 있어 다시 주목하게 됐다고 말했다. 해변이나 노을을 배경으로 한 프로필 이미지, 북한 지역으로 연결되는 위치 정보, 같은 날 생성된 계정, 여성 계정들과의 관계 형성 방식 등 여러 정황이 과거의 작전 패턴과 겹쳐졌다는 설명이었다. 그는 단지 사진 몇 장이나 이름만 보고 공격자를 단정하지는 않지만, 실제 공격 움직임이 뒤따를 경우 그 의미는 완전히 달라진다고 강조했다.
실제 공격 흐름도 이어졌다. 문 이사에 따르면 이 계정들은 페이스북 메신저로 접근한 뒤, 텔레그램이나 카카오톡, 시그널, 라인 같은 개인 메신저 사용 여부를 묻고 대화 채널을 바꿨다. 이후에는 자신을 조선 사람이라고 소개하거나, 중국에 나와 돈을 벌고 있다고 말하며 상대의 경계심을 낮췄다. 그 다음 단계에서는 군사 정보, 무기 문서, 기밀 자료처럼 관심을 끌 수 있는 주제를 내세워 압축 파일과 문서를 전달했다. 그는 이런 방식이 특정 산업과 직군의 관심사를 정교하게 겨냥하는 맞춤형 사회공학 공격이라고 설명했다.
문 이사는 미국 측과 협조해 이들 계정이 Astrill VPN 대역을 사용한 정황도 확인했다고 밝혔다. 그는 VPN 주소는 계속 바뀔 수 있지만, 공격자는 성능과 안정성 때문에 특정 대역을 반복적으로 사용하는 경우가 많다고 설명했다. 따라서 IP 하나만 놓고 보기보다, 어떤 서비스와 어떤 패턴으로 재사용되는지를 함께 봐야 위협 인텔리전스의 가치가 높아진다고 덧붙였다. 객석에서는 흔히 노이즈로 치부되기 쉬운 VPN 흔적조차, 맥락 속에서는 강한 단서가 될 수 있다는 점이 인상적으로 받아들여졌다.
정상 프로그램을 가장한 악성코드, 그리고 다시 등장한 ‘진혁’의 흔적
기술 분석은 후반부에서 더욱 밀도를 높였다. 문 이사는 텔레그램을 통해 전달된 압축 파일 안에는 설명서와 여러 개의 PDF 문서, 그리고 ‘Wondershare PDFelement Installer’로 위장한 실행 파일이 포함돼 있었다고 설명했다. 사용자는 암호가 걸린 PDF 문서를 보려면 관련 프로그램이 필요하다고 여기기 쉬운데, 공격자는 바로 그 점을 노려 정상 설치 프로그램처럼 보이는 파일을 실행하게 만들었다는 것이다. 문 이사는 설명서의 표현에서도 북한식 문장 습관이 묻어났다고 지적했다.
이 악성 파일은 정상 설치 프로그램 내부의 구조를 교묘하게 변조해, 실행이 시작되면 먼저 숨겨둔 셸코드가 동작하도록 설계돼 있었다. 이어 윈도우의 정상 시스템 프로세스인 dism.exe를 불러와 여기에 코드를 주입하고, 외부 서버에서 JPG 파일처럼 보이는 데이터를 받아오도록 구성돼 있었다고 문 이사는 설명했다. 겉으로는 정상 프로그램 설치와 이미지 호출처럼 보이지만, 실제로는 여러 단계의 복호화와 메모리 실행을 거쳐 다음 페이로드로 넘어가는 구조였다. 그는 이런 설계가 보안 솔루션의 정적·동적 분석을 모두 어렵게 만들 수 있다는 점에서 공격자가 상당히 공을 들인 흔적이 보였다고 전했다.
문 이사는 이어 이 악성코드가 일반적인 실행 파일의 시그니처를 지운 이른바 헤더리스 방식까지 사용했다고 설명했다. 보통 실행 파일은 고유한 헤더 구조를 갖지만, 이 공격은 그 부분을 흐리게 만들어 탐지를 더 어렵게 만들었다는 것이다. 더 깊이 들어가 보니 내부 코드와 기능 일부는 라자루스 계열이 아니라 APT37의 RokRAT 계열과 매우 높은 유사성을 보였다고 그는 말했다. 즉, 앞단의 사회공학 페르소나 추적은 과거 박진혁 흐름과 닿아 있었지만, 실제 악성 페이로드 측면에서는 또 다른 북한 연계 그룹의 특성이 겹쳐 보이는 복합적인 양상이 드러났다는 설명이다.
이어 문 이사는 Zoho WorkDrive를 이용한 명령제어 흐름을 설명했다. 내부 단말에서 Zoho 계열 클라우드 서비스와의 수상한 통신이 발생한다면 무심히 넘기지 말아야 한다는 그의 경고는 단호했다. 그리고 그 분석 과정에서 발견한 디버그 문자열 하나가 이날 강연 전체를 다시 묶어냈다. 바로 ‘FAIL,JinHyok’이었다. 문 이사는 이 문자열을 보는 순간, 10년 전 자신이 추적했던 인물과 사건들이 한꺼번에 떠올랐다고 말했다. 물론 문자열 하나만으로 동일 인물을 단정할 수는 없지만, 운영자가 무심코 남긴 흔적이 과거와 현재의 작전을 잇는 중요한 연결선이 될 수 있다는 점을 현장은 분명히 느낄 수 있었다.
문 이사의 강연은 새로운 해킹 그룹 이름을 하나 더 소개하는 자리가 아니었다. 그는 공격자는 언제나 코드를 바꾸고, 인프라를 갈아타고, 새로운 서비스로 이동하지만 사람은 습관을 남긴다고 했다. 어떤 사진을 쓰는지, 누구에게 말을 거는지, 어떤 메신저로 옮겨가는지, 어떤 문자열을 코드에 남기는지, 어떤 VPN 대역을 반복 사용하는지 같은 것들이 결국 공격자의 그림자를 만든다는 설명이었다. 위협 인텔리전스는 단순한 IOC 목록이 아니라, 장기간 축적한 맥락 속에서 공격자를 식별하고 다음 수를 예측하게 만드는 능력이라고 강조했다.
댓글
0