'북한 인권강사 위촉 안내' 이메일로 PC 감염... 지인에게 악성 파일 재유포
▲ 메신저를 통해 전해진 악성 파일./사진=지니언스 시큐리티
북한 연계 해킹 조직으로 알려진 '코니(Konni)'가 스피어피싱(spear phishing·정상 이메일로 위장한 악성 파일로 개인정보를 탈취하는 수법) 이메일과 을 연계한 다단계 공격을 전개하고 있는 것으로 드러났다.
16일 지니언스 시큐리티 센터에 따르면 코니 조직은 최근 이 같은 방식의 지능형 지속 위협(APT) 공격을 감행하고 있다.
이는 사용자 PC에 악성 파일을 심고 탈취한 메신저 계정의 지인에게 재유포하는 수법으로 '북한 인권 강사 위촉 안내'로 위장한 이메일에서 시작된다.
공격자는 이메일에 첨부된 압축파일 안에 악성 바로가기(LNK) 파일을 포함시켜 사용자가 실행하도록 유도한다. 사용자가 문서를 열기 위해 해당 LNK 파일을 더블클릭하는 순간, 내부에 숨겨진 악성 스크립트가 실행되며 PC가 감염되는 구조다.
이번 공격의 특징은 감염된 단말기에 설치된 PC 버전을 공격 확산의 매개체로 활용했다는 점이다.
공격자는 피해자의 PC에 장기간 잠복하며 계정 정보 등을 탈취한 뒤, 이를 기반으로 PC 버전 세션에 비인가 방식으로 접근한 것으로 파악됐다.
이후 피해자의 친구 목록 중 일부를 선별해 '북한 관련 영상 기획안' 등으로 위장한 악성 파일을 다시 전송하는 방식으로 공격을 이어갔다.
이는 기존 피해자와의 신뢰 관계를 이용하기 때문에 수신자가 별다른 의심 없이 파일을 열어볼 가능성이 매우 높다.
전문가들은 이를 단순한 정보 탈취를 넘어선 '계정 기반 재확산'의 위험 모델로 평가하며, 신뢰 관계를 악용한 다단계 공격 구조가 형성되고 있다고 분석했다.
보안 업계 전문가는 "무작위 공격이 아닌 소수 인원만 타기팅해 정교하게 공격하는 방식"이라며 "1차 피해자의 컴퓨터로 원격 접속해 이미 로그인된 을 악용하는 것이기 때문에 '해외 접속' 표시도 뜨지 않게 된다"고 설명했다.
지니언스는 조직 차원에서 메신저를 통한 파일 송수신 보안 가이드 마련, 비정상적인 대량·반복 전송 패턴 탐지, 중요 단말의 세션 보호 여부 점검 등이 필요하다고 제언했다.
또 문서 아이콘으로 위장한 바로가기 파일이나 공문 형식을 가장한 첨부파일에 대해 사용자가 경계심을 가질 수 있도록 교육을 강화해야 한다고 강조했다. 김민환 기자
동양일보TV
김민환 기자
다른기사 보기
저작권자 © 동양일보
댓글
0