지원이나 기부 제안을 가장한 피싱 메일과 뉴스·병원 웹사이트를 악용한 '워터링홀' 공격이 잇따르자 정부와 민간 보안 업계가 합동 경고에 나섰다. 보안업계에서는 올해 상반기 수차례 포착된 일련의 공격을 북한 배후 해킹 조직 '라자루스'의 소행으로 추정하고 있다.
30일 보안 업계에 따르면, 국정원과 경찰청, 한국인터넷진흥원(KISA), 금융보안원은 안랩·에스투더블유·엔키화이트햇·플레인비트 등 민간 보안 기업과 함께 최근 '합동 사이버 보안 권고문'을 공유했다.
해킹 조직은 주로 채용 지원이나 기부 제안 등 수신자의 관심을 끌 만한 내용으로 위장한 메일을 보낸다. 이력서를 첨부 파일이 아닌 인터넷 링크 형태로 메일 본문에 삽입하는 수법도 확인됐다.
링크를 누르면 해킹 조직이 직접 개설하거나 탈취한 블로그·깃허브 등의 웹페이지로 연결된다. 이 과정에서 PC에 설치된 구형 보안 프로그램의 취약점이 악용돼 별도의 파일을 실행하지 않아도 악성코드에 감염될 수 있다.
악성 첨부 파일을 직접 보내는 방식도 병행한다. '고연봉 일자리 제안'과 같은 채용 제안으로 위장해 첨부 파일을 열도록 유도하는 식이다. 실제 헤드헌터의 이메일 계정을 탈취해 정상적인 발신자가 보낸 메일처럼 속인 사례도 포착됐다.
뉴스나 병원 등 이용자가 자주 방문하는 웹사이트를 미리 해킹해 악성코드를 심어두는 워터링홀 공격도 활용한다. 이용자가 변조된 사이트에 접속하면 PC에 설치된 보안 프로그램 등의 취약점을 통해 악성코드가 자동으로 설치된다.
최근 워터링홀 수법은 악성코드를 은닉하거나 웹사이트 소스 코드를 직접 변조하는 방식으로 고도화되고 있어 보안 관제를 통한 탐지도 어려워지고 있다고 권고문은 밝혔다. 전자서명·보안인증·키보드보안 프로그램 등 최신 버전이 아닌 보안 소프트웨어가 설치돼 있을 경우 감염 위험은 커질 수 있다.
보안 업계에서는 이 같은 공격이 올해 상반기 수차례 국내 이용자와 기업을 겨냥해 공격한 라자루스의 수법과 유사하다고 보고 있다.
악성코드에 감염되면 브라우저에 저장된 계정·비밀번호·카드 번호부터 PC의 문서·사진·연락처와 메신저 대화 내용도 유출될 수 있다. 또 감염된 PC를 발판 삼아 같은 네트워크에 연결된 주변 PC로 악성코드가 연쇄 확산할 수도 있다.
기업의 경우 소스 코드·내부 문서·고객 및 인사 정보·영업 비밀 등을 빼돌린 뒤 이를 빌미로 금전을 요구하는 협박으로 이어질 수 있어 각별한 주의가 요구된다.
권고문은 개인 사용자에게 모든 소프트웨어를 최신 버전으로 업데이트하고, 중요 계정에는 2단계 인증을 활성화하며, 출처 불명의 메일 첨부 파일과 링크는 열지 말 것을 권고했다.