한미 연합 훈련인 ‘을지 자유의 방패’가 진행 중인 가운데 국내 방위산업체를 노린 사이버 공격 징후가 다수 포착됐다.

25일 정보보안업체인 이스트시큐리티에 따르면 이번 공격은 방위산업체 종사자나 거래처 등에 발주서 등으로 위장한 메일에 악성코드를 숨겨 시도한 것으로 추정된다.

이번 공격 징후는 한미 연합훈련이 시작된 지난 22일 처음 탐지됐다. 이때 공격자는 국내 방위산업체와 관련된 내부 업무 문건이나 표현이 공격 미끼로 활용했다. 특히 악성 파일 실행 직후 보여지는 정상 파일 중 일부가 국내 문서보안 솔루션(DRM)으로 암호화가 적용된 상태로 발견됐다. 이에 대해 보안업계 일각에선 이미 탈취한 내부 자료가 후속 공격에 사용됐는지에 대해 관계당국이 조사에 나서야 한다고 지적했다.

이스트시큐리티에 따르면 첫 공격 징후 발견 당시에는 마치 컴퓨터의 아이피 및 맥주소 조회 프로그램처럼 가장한 형태로 발견됐다. 해당 파일을 실행하면 외형상으로 컴퓨터의 실제 네트워크 정보를 출력해 주지만, 이용자 몰래 백도어(Backdoor) 를 설치해 내부 정보 수집 및 외부 탈취를 시도한다. 백도어는 인증되지 않은 사용자에 의해 컴퓨터의 기능이 무단으로 사용될 수 있도록 컴퓨터에 몰래 설치되는 통신연결 기능을 말한다.

이스트시큐리티 시큐리티대응센터(ESRC)는 해당 공격을 처음 포착한 이후 유사한 변칙 공격이 계속 증가하고 있다고 밝혔다. 분석 결과 모두 동일한 미국 소재 인터넷주소(IP)와 악성 명령을 주고받는 것으로 확인했다.

공격자는 이어서 PDF나 XLSM 문서처럼 보이게 확장자를 이중으로 추가한 스크립트(JSE, VBS) 공격 수법도 보였다. 여기에 추가로 흔히 바로가기(LNK) 아이콘처럼 보여지는 실행파일(PIF) 확장자 수법도 동원했다. 이에 대해 이스트시큐리티 관계자는 “실행파일(EXE) 확장자를 가진 네트워크 프로그램처럼 위장한 경우, 공격 효과가 미비했다고 판단한 것 같다”라고 설명했다.

ESRC는 이번 공격을 조사한 결과, 수년 전부터 국방 분야 및 방위산업체, 코로나바이러스 연구 제약사와 비트코인 거래소를 상대로 끈질긴 공격을 수행했던  북한 연계 해커조직의 이른바 ‘블루 에스티메이트(Blue Estimate)’지능형지속위협(APT)의 연장선이라고 밝혔다.

악성파일을 이용한 공격 외에도 방위산업체 내부망 로그인 서비스처럼 조작한 피싱 주소도 발견됐다. 공격자는 실제 웹 사이트와 디자인을 비슷하게 모방해 제작했다. 이에 대해 이스트시큐리티는 자세히 살펴보면 정상 사이트와 다른 점이 존재하고, 공식 인터넷주소(URL)를 유심히 살펴보면 진위 여부를 파악할 수 있다고 밝혔다.

이스트시큐리티 관계자는 “한미 연합훈련이 진행되는 가운데 국내 방위산업체를 겨냥한 북한의 사이버 위협 수위가 갈수록 대담하고 고조되고 있다”라  “국방 분야에 종사하는 민간전문가들은 언제든지 북한의 사이버 위협 대상에 노출될 수 있다는 점을 인식하고 항시 철저한 사이버 안보 태세를 유지할 필요가 있다”라고 주의를 당부했다.