한미 연합 군사훈련이 진행 중인 가운데 한국의 방위산업체를 대상으로 한 사이버 위협 징후가 다수 포착되고 주의할 필요가 있다.

이스트시큐리티에 따르면 격 징후는 한미 연합훈련이 시작된 지난 22일 처음 탐지됐는데, 당시에는 마치 컴퓨터의 아이피 및 맥주소 조회 프로그램처럼 가장한 형태로 발견됐다. 해당 파일이 동작되면 외형상으로 컴퓨터의 실제 네트워크 정보를 출력해 주지만, 이용자 몰래 백그라운드로 은밀히 백도어(Backdoor) 기능의 악성 DLL 모듈을 심어 내부 정보 수집 및 외부 탈취를 시도한다.

이스트시큐리티 시큐리티대응센터(이하 ESRC)는 해당 공격을 처음 포착한 이후 유사한 변칙 공격이 계속 증가하고 있다는 사실을 인지했고, 분석 결과 모두 동일한 미국 소재 아이피 (216.189.154[.]6) 주소와 악성 명령을 주고받는 것으로 확인했다.

공격자는 앞선 사례처럼 실행파일(EXE) 확장자를 가진 네트워크 프로그램처럼 위장한 경우, 공격 효과가 미비했다고 판단했는지 이어서 PDF나 XLSM 문서처럼 보이게 확장자를 2중으로 추가한 스크립트(JSE, VBS) 공격 수법도 재개했다. 거기에 추가로 흔히 바로가기(LNK) 아이콘처럼 보여지는 실행파일(PIF) 확장자 수법도 동원했던 것으로 드러났다.

이번에 탐지된 위협들은 거의 동일한 악성 패턴을 보유하고 있으며, 국내 방위산업체와 관련된 내부 업무 문건이나 표현이 공격 미끼로 활용된 점이 주목된다.

ESRC는 이번 공격을 조사한 결과, 수년 전부터 국방 분야 및 방위산업체, 코로나바이러스 연구 제약사와 비트코인 거래소를 상대로 끈질긴 공격을 수행했던 이른바 “블루 에스티메이트(Blue Estimate)” 지능형지속위협(APT) 캠페인의 연장선이라 밝히며, 이 공격의 배후에 북한 정찰총국이 연계된 것으로 널리 알려져 있다고 설명했다.

이스트시큐리티 ESRC 관계자는 “한미 연합 군사훈련이 진행되는 가운데 국내 방위산업체를 겨냥한 북한의 사이버 위협 수위가 갈수록 대담하고 고조되고 있다”라며, “국방 분야에 종사하는 민간전문가들은 언제든지 북한의 사이버 위협 대상에 노출될 수 있다는 점을 인식하고 항시 철저한 사이버 안보 태세를 유지할 필요가 있다”라고 주의를 당부했다.