외교·안보 전문가 노린 APT공격 ‘주의보’…PDF 취약점 악용사례 발견

악성 PDF 파일을 활용한 새로운 형태의 지능형위협(APT) 공격이 국내에서 발견돼 주의가 요구된다.

3일 이스트시큐리티 시큐리티대응센터(ESRC)의 분석에 따르면, 새로 발견된 PDF 파일 취약점 공격은 지난 5월부터 현재까지 국내 외교·안보·국방·통일 분야 전·현직 종사자 등을 대상으로 하는 해킹공격에 사용된 것으로 확인됐다.

ESRC는 이번 공격에 사용된 기술과 전략을 심층 분석한 결과 북한 연계 해킹조직으로 알려진 ‘탈륨’을 배후로 지목했다.

이 조직은 최근까지 MS워드 파일(DOC/DOCX)의 매크로 기능을 악용하는 기법을 주로 활용해왔으나 최근에는 PDF 취약점을 활용하는 기법 변화를 시도한 것으로 추정된다. 

최근까지 국내 전·현직 장차관급 고위 정부 인사 등을 상대로 계속해서 해킹공격을 시도해 온 탈륨은 지난 2021년 한미 정상회담 기간에도 대북 분야 전문가를 상대로 DOC 문서를 악용하는 방식의 공격을 시도한 것으로 확인됐다.

다만 PDF 취약점을 활용한 사례가 발견된 것은 이번이 처음이라고 ESRC는 설명했다. 이는 탈륨조직의 대표적인 APT 공격 캠페인 중 하나인 ‘페이크 스트라이커(Fake Striker)’의 연장선인 것으로 ESRC는 분석했다.

ESRC는 이번 공격에 활용된 악성 PDF 파일의 분석결과도 공개했다. 이메일에 첨부된 악성 PDF 파일로 국내 특정 사단법인이 주관하는 ‘평화 경제 최고경영자 과정’ 안내 자료를 사칭하고 있다. 실제로 파일을 열어보면 관련 안내 자료가 보여진다.

문서를 열면 PDF 파일 내부에 은닉된 스크립트 코드가 작동된다. 이 코드는 Base64 형식으로 인코딩된 Shellcode 명령을 실행하고, 분리된 코드 단위로 은밀하게 숨겨져 있는 악성 페이로드 파일을 호출한다.

이후 ‘tksRpdl.atwebpages[.]com’ 명령제어(C2) 서버와 통신을 시도해 공격자가 지정한 명령을 순서대로 수행하고 추가 악성파일을 설치한다.

공격에 활용된 C2 서버 영문 도메인 주소를 한글 키보드로 치환하면 ‘산께이(tksRpdl)’라는 일본식 단어로 변환되며 사시미(tktlal)라는 표현의 도메인도 사용된 것으로 확인됐다. 앞서 이 조직의 유사공격에서 여러 차례 발견된 ‘WebKitFormBoundarywhpFxMBe19cSjFn’ 통신 문자열이 이번 공격에서도 발견됐다고 ESRC는 설명했다.

이스트시큐리티 ESRC센터장 문종현 이사는 “페이크 스트라이커로 분류된 이번 탈륨조직의 APT 공격 캠페인은 국내 전·현직 장차관급 유력인사와 함께 대북 연구 분야 고위 관계자를 집중적으로 노리고 있다”고 언급했다.

이어 “기존에 유행했던 DOC 악성 문서 형태와 함께 PDF 취약점을 활용한 공격도 가세하고 있어 PDF 파일을 이메일로 전달받을 경우 세심한 주의가 요구된다”고 당부했다.

한편 국가정보원은 최근 국내 사이버 위협 상황을 반영해 ‘공공분야 사이버 위기 경보’를 3일 9시 정각을 기준으로 ‘정상’에서 ‘관심’ 단계로 상향하였다.