악성파일은 중국어 사용, 국내 특정기업 디지털 서명으로 위장
20일 이스트시큐리티에 따르면, 지난달부터 최근까지 국내 특정 온라인 게임사, 미디어를 대상으로 어눌한 한국어 표현을 사용한 이메일에 심어진 스피어피싱(Spear Phishing) 공격이 다수 발견됐다. 공격은 주로 외부에 많이 공개된 그룹메일 계정으로 수행됐다.
해커는 공격 초기부터 악성 워드파일(DOCX) 문서를 사용했으며 쉽게 열어볼 수 있도록 ‘직원 활동 보너스 신청서.docx’, ‘직무 요구와 대우.docx’ 등의 파일명을 사용했다. 최근에는 회사 내부의 사내문서, 이력서를 사칭한 공격도 있었다.
이스트시큐리티 시큐리티대응센터(ESRC)는 악성파일들이 대부분 중국어 기반에서 작성됐으며 악성 문서 작성자가 ‘coin***’으로 동일한 이름을 사용한 것이 공통 특징이라고 설명했다.
발견된 악성문서는 처음 실행된 후 마치 개인정보 옵션 화면처럼 조작한 이미지를 보여주고 보안·개인정보보호를 위해 매크로 실행이 필요하다는 식으로 ‘콘텐츠 사용’ 기능을 사용하도록 유도했다. 이는 실제 악성코드가 담긴 원격 템플릿 매크로 파일을 호출-실행하는 기능이다.
콘텐츠 사용을 누르면 본격적인 보안위협에 노출되면서 해커의 추가 공격으로 인한 피해로 이어질 수 있게 된다. 이 공격법은 다양한 위협조직들이 활용하고 있다.
이달 18일에 새로 발견된 이력서 사칭 공격에는 특정인의 이력서 문서와 주민등록증, 학위증 등의 개인정보가 담긴 사진으로 보다 신뢰할 수 있도록 조작, 공격을 수행했다고 ESRC는 전했다.
ESRC 센터장 문종현 이사는 “해당 APT그룹은 한국의 특정 회사의 디지털 서명을 사칭해 보안 위협 모니터링 탐지 회피를 시도하고 있다”며 “아직은 온라인 번역기 활용 정황 등 다소 어눌한 한국어로 위협을 가하고 있지만 공격 성공률을 높이기 위해 정교화된 방식으로 발전할 수 있어 각별한 대비와 주의가 필요하다”고 말했다.