조성호
한국군사문제연구원
국방ICT지원센터장

북한 4차 핵실험 시기와 맞물려 청와대를 사칭한 악성메일이 곳곳에서 포착된 가운데, 후속 공격도 진행되고 있는 등 본격적인 사이버전 양상이 벌어지고 있다.
지난 16일에는 한글과컴퓨터(이하 한컴)사를 사칭해 스피어피싱 공격이 포착됐으며, InstallShield 프로그램을 이용해 마치 정상적인 설치프로그램처럼 교묘하게 위장한 정황도 발견되었다. 지난 14일에는 ‘[긴급 배포] 한컴 오피스 멀웨어 제거 프로그램’을 사칭해 압축형태의 악성파일 설치를 유도하는 공격이 발생했는바, 이처럼 청와대를 사칭한 악성메일 유포 이후에도 북한 추정의 사이버공격이 잇따라 포착되고, 갈수록 교묘해지고 있어 이용자들의 혼란을 가중시키고 있다.
InstallShield 프로그램 이용해 위장
먼저 지난 16일 북한에서 진행한 추가 공격이 발견됐다. 이에 대해 민간에서 활동하고 있는 북한 사이버전 연구그룹 사이버워는 “InstallShield 프로그램을 이용해 마치 정상적인 설치프로그램처럼 교묘하게 위장하고 있는 방식”이라며 “설치과정도 마치 카카오 다음 팟플레이어나 한컴 업데이트 서비스 로더처럼 위장하고 있다고 있다”고 밝혔다. 이번에 발견된 공격은 아직까지 파괴 작전을 수행하고 있지는 않고 있으며, 신규 교두보 확보를 위한 침투공격으로 파악되고 있다. 특히, 이번 침투작전은 기관의 공식 이메일 이용자뿐만 아니라 포털사 무료 웹 메일 서비스 대상자들을 포함하고 있다는 게 보안전문가의 분석이다.

한컴 사칭 스피어피싱 포착
같은 날인 16일 북한 추정 사이버공격 조직이 한컴 사를 사칭하고, 보안뉴스 기사 링크를 메일에 넣어 유포한 정황도 포착됐다. 해당 메일에는 ‘최근 본사의 제품군을 이용한 공격이 급증하고 있어 주의를 요구 한다’며 ‘악성코드는 한컴제품의 특정 파일들을 변경하고 동작하므로 위의 툴로 반드시 제거하고 최신판본으로 업데이트 할 것을 권장’하라는 내용이 포함돼, 보안뉴스의 관련기사 링크를 걸어 유포시켰다. 이는 보안전문매체의 공신력을 이용한 심리전으로 이용자의 혼란을 부추기고, 후속 공격을 통해 악성코드 감염을 확대하기 위한 조치로 해석된다.
한컴 오피스 멀웨어 제거 프로그램 사칭
이보다 앞선 지난 14일경에는 북한 추정 해커조직이 뿌린 ‘[긴급 배포] 한컴 오피스 멀웨어 제거 프로그램’이란 제목으로 한컴을 사칭한 메일이 포착됐다. 해당 메일에는 ‘최근 본사의 제품군을 이용한 공격이 급증하고 있어 주의가 요구된다’며 ‘악성코드는 한컴제품의 특정 파일들을 변경하고 동작하므로 위의 툴로 반드시 제거하라’는 내용과 함께 ‘최신판본으로 업데이트 할 것을 권장’하는 내용이 포함돼 있었다. 여기에는 ‘2016년 1월 13일 최신업데이트로 업데이트 된 경우에도 악성코드는 그대로 남아 작동하므로 제거해야 한다. 악성코드가 발견된 경우 본 메일로 연계하라’며 압축파일 형태로 HncMalwrChecker.zip 파일을 첨부했다. 이에 대해 한컴 측은 ‘한글과컴퓨터 업데이트 사칭 메일 주의’라는 제목의 팝업창을 띄웠다.

이어 한컴 측은 ‘한글과컴퓨터를 사칭한 자동 업데이트 관련 메일을 받으신 경우 메일을 열어 확인하거나 특히 메일 내 첨부 파일을 다운로드 또는 실행하지 않도록 주의할 것’과 ‘고객에게 보안 진행을 유도하는 이메일을 발송하지 않는다’고 공지했다. 이는 지난 13일 한컴 사에서 최신 보안업데이트가 배포되자, 이번에는 관련 내용을 악용해 표적공격에 활용할 것으로 분석된다. 현재 한컴 업데이트 파일을 사칭한 공격도 북한 추정 해커조직이 발송한 것으로 파악된다. 이와 관련 하우리 최상명 CERT실장은 “한글과컴퓨터 사에서 동적 보안모듈을 적용했기 때문에 취약점이 동작하더라도 악성코드 유포가 차단된다. 이 때문에 북한은 이를 우회하기 위해 한컴 업데이트 파일로 위장해 이메일을 통해 전달하고 있다”며 “공식 한컴 홈페이지의 업데이트 파일을 제외하고, 이메일을 통해 공지되는 업데이트 파일은 절대로 설치하지 않도록 주의해야 한다”고 강조했다. 이외에 지난 15일 제작된 북한의 최신 공격프로그램은 프로세스를 생성할 때 영문으로 ‘첼시(chelsea)’ 라는 명령어를 사용한 정황도 포착됐다. 서울여자대학교 김명주 교수는 이번 청와대 사칭과 한컴을 사칭한 악성코드 배포에 대해 “전형적인 사회 공학적 공격기법으로 공격에 성공해 2차 공격기반을 마련하려는 목적과 근본적으로 우니나라 사회 전반에 대한 ‘불신’과 ‘불안’을 조장하려는 목적이 더 큰 것으로 보인다”며 “공격 배후로 북한이 지목되고 있지만 표면적으로는 청와대와 한컴이 거론되고 있으며, 공격을 당한 국민들은 청와대와 한컴에 대한 불편한 감정이 없을 수 없다”고 말했다. 특히 청와대의 경우, 정치적 노선이 다를 경우 책임론까지 겹쳐서 여론의 악화를 조장할 가능성이 크다고 우려했다. 이처럼 북한 추정 사이버공격이 잇달아 포착되고 있는 만큼 각별한 주의가 요구된다. 이들은 정보 수집과 한국의 대응태세를 긴밀히 모니터링하면서 추가공격 등 다른 작전 준비를 할 가능성이 높다. 이에 각 공공기관과 기업은 물론 개인은 이메일 확인과 웹사이트 보안에 각별히 신경써야 할 것으로 보인다.

한편, 청와대 사칭 이메일과 관련해 강신명 경찰청장은 압수수색한 결과 “요녕성 구역”이라고 말했다. 또한 지난 8일 오전 9시부터 지금까지 국가정보원의 사이버위기 경보단계와 한국인터넷진흥원의 인터넷침해사고 경보단계는 여전히 ‘관심’ 단계를 유지하고 있다. 사이버안전국에서 발표하는 사이버범죄 주의경보등은 개인정보 도용 부문이 ‘주의 단계’로 격상됐다.