[IT비즈뉴스 김진수 기자] 미국 라스베이거스에서 열리는 소비가전박람회(CES) 참관단 모집을 사칭한 해킹 이메일이 발견됐다.

이스트시큐리티에 따르면, 특정 정부가 후원하는 해킹조직인 라자루스(Lazarus)의 CES 참관단 참가신청서로 위장한 APT 공격이 발견됐다. 해당 공격은 악성 문서파일이 첨부된 이메일을 특정 대상에게 발송하는 스피어 피싱(Spear Phishing) 방식으로 ‘2020 라스베가스 가전제품 박람회(CES 2020)’ 참관단 참가 신청서를 사칭하고 있다.

실제로 박람회 주최 측은 최근 CES 2020 참관단을 모집했고 이 모집공고는 10월18일 마감된 것으로 보인다.

최근 라자루스 그룹의 사이버위협 활동이 두드러진 가운데, HWP 취약점을 악용한 공격이 꾸준히 발견되고 있어 주의가 요구된다. 이번 박람회 참관단 참가신청서로 위장한 공격도 HWP 취약점을 활용했다.

이스트시큐리티 시큐리티대응센터(ESRC)는 “24일 라자루스 그룹이 제작한 것으로 분류된 최신 악성파일을 발견했으며 한글 문서파일이 열릴 때 보안취약점에 따라 추가 악성코드가 다운로드된다”며 “보안 시스템의 탐지를 회피하기 위해 허위명령제어(C2) 서버와 통신 행위를 넣어둔 치밀함도 보였다”고 설명했다.

ESRC는 분석 결과 이번 악성코드의 위협 벡터와 코드 수법이 올해 상반기부터 최근까지 발견된 암호화폐 거래 관계자를 노린 위협 활동 범주에 속해 이와 관련성 여부도 조사 중이다.

최종 설치되는 페이로드(Payload)는 thevagabondsatchel[.]com C2 서버를 통해 유포되고 있다. 해당 파일은 한국시간으로 2019년 10월22일 오전 11시 21분에 제작됐다.

3개의 해외 C2 서버와 추가 통신을 시도하면서 각 기업과 기관에서는 아래 사이트의 접속 상황을 모니터링하고 차단하는 것도 중요하다.

ESRC 센터장 문종현 이사는 “라자루스 APT 그룹이 다양한 내용의 문서파일로 표적 공격을 수행하고 있다”며 “해당 취약점은 이미 보안패치가 완료된 상태이므로 이용자들은 사용 중인 한컴 오피스를 최신 버전으로 업데이트해 유사한 보안 위협에 노출되지 않도록 해야 한다”고 강조했다.

현재 ESRC에서는 피해를 방지하기 위해 공격에 사용된 악성파일을 분석 중이며 상세 분석 내용은 자사의 인텔리전스 기반 악성코드 위협 대응 솔루션 ‘쓰렛인사이드(Threat Inside)’에 공개할 예정이다.