유명 해커 집단인 김수키 조직이 대북 국책연구기관인 통일연구원을 사칭해 스피어피싱 공격을 벌였다.

통합보안기업 이스트시큐리티는 17일 통일연구원(KINU)을 사칭해 특정 기관 관계자 정보를 수집하는 스피어피싱(Spear Phishing) 공격이 발견됐다고 밝혔다. 관련 업계 종사자의 각별한 주의가 필요하다.

통일연구원 메일을 사칭해 전문가 자문을 구하는 악성 한글 파일. / 이스트시큐리티 제공
통일연구원 메일을 사칭해 전문가 자문을 구하는 악성 한글 파일. / 이스트시큐리티 제공
해커는 KINU를 사칭해 전문가 자문을 요청하는 내용의 이메일을 보냈다. 'KINU 전문가 자문 요청사항(한미동맹과 한중관계).hwp'라는 악성 한글 문서 파일도 첨부했다.

만약 수신자가 해당 문서를 실행하면 즉시 악성코드에 감염돼 ‘좀비 PC’가 된다. 해커가 사용자 PC를 통제하게 되며 ▲시스템 정보 ▲최근 열람 문서 목록 ▲실행 프로그램 리스트 등 다양한 정보도 수집하게 된다. 해커의 원격 제어로 2차 피해가 벌어질 가능성이 높다.

이스트시큐리티 시큐리티대응센터(ESRC)는 "이번 공격은 국내 소프트웨어 기업과 보안 기업의 정상적인 모듈처럼 위장하는 치밀함이 발견됐다"며 "악성코드 감염 피해자의 정보를 수집하고자 제작된 것으로 보인다"고 말했다.

이어 "북한의 지원을 받는 것으로 알려진 김수키(Kimsuky) 조직의 이전 공격과 악성코드 제작 기법, 공격 스타일 등이 대부분 동일하다"며 "해당 조직의 소행으로 추정한다"라고 말했다.

ESRC에서는 피해를 방지하고자 공격에 사용된 악성 파일을 면밀히 분석한다. 분석이 완료되면 그 내용을 자사의 인공지능(AI) 기반 악성코드 위협 대응 솔루션 ‘쓰렛인사이드(Threat Inside)’와 알약 공식 블로그에 공개할 예정이다.