탈북자·대북 분야 관계자 노렸다…'모바일 APT' 공격 발견

[아이뉴스24 최은정 기자] 탈북자 혹은 대북 분야 관련자를 대상으로 한 모바일 지능형지속공격(APT)이 발견돼 주의가 필요한 것으로 나타났다.

이스트시큐리티는 지난 6월부터 탈북자, 대북단체, 외교·안보·통일 분야 관련자 등을 대상으로 수행된 모바일 APT '드레곤 메신저 오퍼레이션(Dragon Messenger Operation)'이 포착됐다고 5일 발표했다.

특히 이번에 발견된 공격은 특정 정부의 후원은 받는 것으로 알려진 해킹조직 '금성121'의 소행으로 추정된다는 게 회사 측 설명이다. 이 조직은 주로 국내 대북단체와 대북 분야 종사자, 탈북자를 대상으로 악성문서 파일을 통한 스피어피싱 공격과 APT를 지속해왔다.

이번 공격에서 이 조직은 기존 방식보다 한 단계 진화한 공격 형태를 보였다. 가짜 웹사이트 제작에서 더 나아가 실존 보안 메신저로 위장한 모바일 메신저를 직접 제작했고, 소셜네트워크서비스(SNS)로 악성 앱 설치를 유도하는 등의 수법을 사용했다.

이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 이번 모바일 APT는 카카오톡 메신저를 통해 지난 6월부터 최근까지 악성 앱이 유포된 정황과도 연결돼 있다.

공격자는 먼저 특정 분야 종사자에게 메신저로 대화를 걸었다. 그 다음 보안 메신저를 별도로 설치한 후 관련 이야기를 계속하자고 제안해 자연스럽게 악성 앱 설치를 유도했다.

이를 위해 공격자는 '북한 이탈주민 모금운동'이라는 워드프레스 기반 가짜 웹사이트를 미리 제작했다. 여기에선 탈북민들이 생활상 문제를 공유하고, 이에 대한 지원을 받을 수 있다는 안내문이 뜨고, 가짜 모바일 앱 설치도 권유한다.

공격자가 구글플레이에 업로드한 악성 앱은 '쓰리마(Threema)', '위커(Wickr)' 등 실제 존재하는 보안 메신저를 사칭한 것이다. 사용자 의심을 피하기 위해 정상적인 앱 기능을 대부분 수행하도록 제작됐다는 게 특징이다.

해당 앱 다운로드를 유도하기 위해 공격자는 특정 분야 관련자를 대상으로 이메일을 발송하고, 페이스북·유튜브로 가짜 웹사이트를 방문하도록 홍보하기도 했다.

만약 사용자 스마트폰에 악성 앱을 설치하면, 가입시 입력한 계정정보 유출은 물론 스마트폰이 좀비폰 상태로 변해 모든 정보가 외부로 유출될 수 있다.

문종현 ESRC 이사는 "특히 스마트폰은 업무·가정용 PC에 비해 민감하고 개인적인 정보가 많이 저장돼 있다"며 "(앱 다운로드시) 실시간으로 도청까지 가능하기 때문에 피해 규모가 더욱 커질 수 있다"고 경고했다.

이어 "공격자는 감시 대상이나 공격 타깃을 한 곳으로 모아서 은밀하게 정보를 탈취하고 염탐하는 고도의 전략을 구사했다는 점을 주목해야 한다"고 말했다.

해킹조직 '금성121' 소행으로 추정돼