지니언스 블로그 이미지
북한 연계 APT로 알려진 코니(Konni) 그룹이 북한인권 관련 안내문으로 위장한 스피어피싱 이메일로 피해자 시스템에 침투한 뒤, 장기 잠복과 정보 탈취, PC 버전 악용을 통한 2차 유포까지 수행한 정황이 확인됐다. 공격자는 단순히 악성파일을 실행시키는 데 그치지 않고, 이미 감염된 피해자를 다시 공격의 유포 경로로 활용하는 방식으로 위협을 확장한 것으로 분석됐다.
지니언스 시큐리티 센터 분석에 따르면 이번 공격은 ‘북한인권 강사 위촉 안내’로 꾸민 이메일에서 시작됐다. 공격자는 수신자의 관심과 업무 연관성을 노린 문구로 경계심을 낮춘 뒤 압축파일 실행을 유도했다. 압축파일 내부에는 정상 문서처럼 보이는 아이콘을 적용한 LNK 바로가기 악성파일이 담겨 있었고, 사용자가 이를 클릭하면 백그라운드에서 명령 프롬프트와 파워셸이 실행되며 외부 명령제어 서버와 연결되는 구조로 동작했다.
이 LNK 파일은 단순한 바로가기 파일이 아니었다. 내부에는 미끼용 PDF 문서 데이터가 숨겨져 있었고, 악성 스크립트는 자기 자신을 파일 크기로 식별한 뒤 특정 오프셋의 데이터를 XOR 방식으로 복호화해 PDF 문서를 생성했다. 사용자는 문서가 정상적으로 열린 것으로 인식하지만, 실제로는 동시에 외부에서 추가 페이로드가 다운로드되고 시스템 내 지속성 확보 작업이 진행되는 구조였다.
공격자는 이후 공용 경로인 C:\Users\Public\Videos\ 아래에 추가 파일을 저장하고 예약 작업을 등록해 감염 상태를 유지했다. 예약 작업은 1분 뒤 실행을 시작해 1분 간격으로 반복되도록 설정돼 장기간 악성행위를 이어갈 수 있게 설계됐다. 원본 LNK 파일은 실행 직후 삭제돼 사용자의 의심과 포렌식 분석을 어렵게 하는 안티포렌식 기법도 함께 적용됐다.
추가로 내려받은 APDNHFU.pdf 파일 역시 정상 문서가 아니었다. 겉으로는 PDF 확장자를 사용했지만, 실제 내부에는 오토잇(AutoIt) 컴파일 스크립트 컨테이너가 숨어 있었다. 파일 시작과 끝부분에는 의미 없는 더미 문자열을 배치해 정적 분석과 시그니처 탐지를 방해했고, 중간 영역에 실제 악성 본문을 삽입하는 방식으로 위장 효과를 높였다. 확장자와 외형은 문서지만, 실질적으로는 원격제어형 악성코드를 실행시키는 로더 역할을 수행한 셈이다.
디컴파일 결과 이 파일은 엔드랫(EndRAT) 계열 악성코드와 유사한 구조를 가진 것으로 나타났다. 엔드랫은 오토잇 기반 RAT로, 파일 목록 조회, 업로드·다운로드, 원격 셸, 시스템 정보 전송, 지속성 확보 기능 등을 수행할 수 있다. 이번 샘플도 하드코딩된 C2 서버와 접속해 감염 시스템 정보를 전송하고, 이후 공격자의 명령을 대기하는 방식으로 동작했다. 특히 통신에 80번 포트를 사용하면서도 실제로는 HTTP 프로토콜이 아닌 자체 문자열 구분자 기반 통신을 수행해 정상 웹 트래픽처럼 보이도록 위장한 점이 특징으로 지목됐다.
감염 이후 추가 악성코드가 더 설치된 정황도 확인됐다. 포렌식 조사에서는 시작 프로그램 영역에 등록된 악성 바로가기 파일 2개가 식별됐고, 이들은 각각 공용 또는 ProgramData 경로에 숨겨진 오토잇 기반 악성 스크립트를 실행하도록 구성돼 있었다. 또 정상 프로그램이나 시스템 구성요소처럼 보이도록 위장한 파일들도 다수 확인됐다. 분석 결과 이들 파일에서는 EndRAT 외에도 RftRAT, 렘코스랫(RemcosRAT) 등 서로 다른 RAT 계열이 함께 운용된 것으로 나타났다. C2 서버는 핀란드, 일본, 네덜란드 등 여러 국가에 분산돼 있어 탐지 회피와 인프라 지속성을 동시에 노린 것으로 보인다.
이번 공격에서 가장 눈에 띄는 특징은 감염된 피해자의 PC 버전 세션이 악용됐다는 점이다. 공격자는 피해자의 친구 목록 일부를 선별한 뒤, 북한 관련 영상 기획안이나 소개자료처럼 꾸민 악성파일을 다시 전송한 것으로 분석됐다. 이는 기존 피해자의 신뢰 관계를 그대로 활용해 새로운 감염 대상을 찾는 방식이다. 수신자 입장에서는 외부에서 온 낯선 메일보다 평소 알고 지내던 사람이 보낸 파일에 경계심을 덜 가질 가능성이 높다. 공격자는 바로 이 지점을 노린 것으로 해석된다.
이 같은 공격 구조는 단순한 스피어피싱을 넘어선다. 이메일 기반 초기 침투에 그치지 않고, 장기 잠복과 내부 정보 수집, 다중 RAT 운용, 메신저 세션 악용, 계정 기반 재확산까지 결합된 복합 위협 시나리오이기 때문이다. 하나의 시스템 감염이 끝이 아니라 그 사용자의 인간관계와 신뢰망까지 다음 공격 단계에 동원될 수 있다는 점에서 파급력이 크다.
지니언스 시큐리티 센터는 이번 공격이 과거 코니 캠페인과 높은 연속성을 보인다고 평가했다. 포세이돈 작전, 공공기관 사칭 캠페인, AutoIt 기반 방어 회피 전술, 안드로이드 원격 초기화 전술 등 앞서 확인된 코니 활동과 비교할 때 사회공학적 접근 방식, 악성코드 조합, 인프라 운영 패턴이 유사하다는 것이다. 특히 일본 소재 인프라가 과거 코니 운영 자산과 연결되는 정황도 포착돼, 이번 위협 역시 코니 그룹의 소행일 가능성이 높다고 분석했다.
대응 측면에서는 단순한 파일 차단이나 침해지표 중심 방어만으로는 한계가 뚜렷하다는 지적이 나온다. 이번 사례처럼 LNK 실행 이후 파워셸 호출, 예약 작업 생성, 시작 프로그램 등록, 외부 통신, 메신저 프로세스 악용 등 여러 단계가 나눠 진행되기 때문이다. 따라서 보안 담당자는 개별 이벤트가 아니라 전체 공격 흐름을 맥락으로 볼 수 있는 행위 기반 탐지 체계를 마련해야 한다.
특히 EDR 중심의 상관 분석이 중요하다는 점이 이번 사례에서 다시 확인됐다. 압축파일 다운로드 이후 LNK 실행, 외부 페이로드 적재, 지속성 확보, 장기 잠복, 정보 탈취, 을 이용한 2차 유포까지 이어지는 흐름을 단계별로 연결해 볼 수 있어야 조기 대응이 가능하기 때문이다. 아울러 조직 내부에서는 북한, 인권, 안보, 공공기관 안내 등 사회적 관심 이슈를 활용한 표적형 이메일에 대한 경계 교육을 강화하고, 문서 아이콘으로 위장한 바로가기 파일과 메신저를 통한 비정상 파일 전송 행위에 대한 보안 가이드를 보완할 필요가 있다.
이번 코니 캠페인은 공격자가 더 이상 이메일 한 통으로 끝나지 않는다는 점을 분명히 보여준다. 사용자가 한 번 속으면 그 시스템만 위험해지는 것이 아니라, 그 사용자의 메신저 관계망과 내부 문서, 계정 세션까지 모두 공격의 자산으로 전환될 수 있다. 이제 기업과 기관은 초기 침투 차단에만 머물지 말고, 감염 이후 어떤 행위가 이어지는지까지 추적하는 행위 기반 방어 체계를 갖춰야 한다. 그래야만 이처럼 신뢰 관계를 악용해 조용히 퍼지는 장기 잠복형 위협에 실질적으로 대응할 수 있다.
보안 사건사고 제보 하기
보안 관련 어떤 내용이든 제보를 기다립니다!
이메일
광고문의
★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★
길민권 기자
다른기사 보기
#지니언스
저작권자 © 데일리시큐 무단전재 및 재배포, AI학습 및 활용 금지
댓글
0