미얀마 은행 공격…"3분기 北추정 APT공격 지속"

[아이뉴스24 최은정 기자] 북한이 배후에 있을 것으로 추정되는 지능형지속위협공격(APT)이 이어지고 있다는 분석이 나왔다.

카스퍼스키랩 글로벌 리서치·분석팀(GReAT)은 16일(현지시간) '2019년 3분기 APT 트렌드 보고서'를 통해 2분기에 이어 3분기 북한 관련 APT 공격이 동남아시아 지역에서 가장 활발한 것으로 조사됐다.

우선 코니(KONNI) 조직과 연관성을 보이는 안드로이드 악성코드가 새롭게 발견됐다. 코니는 북한 정권이 배후로 알려진 사이버 해킹조직 '김수키(kimsuky)'와 밀접한 관계가 있는 조직이다.

이번에 발견된 악성코드는 모바일 메신저나 암호화폐 애플리케이션으로 위장, 이를 다운로드 받을 경우 해커가 기기를 장악하게 된. 해커는 이를 통해 사용자 개인 암호화폐를 탈취한 것으로 나타났다.

기존에는 해커가 악성코드로 특정 거래 앱에서 암호화폐를 훔치거나 사용자의 암호화폐 지갑을 자신의 것으로 바꾸는 등의 방법을 사용해왔다. 하지만 이번에는 안드로이드 기기를 완벽하게 제어할 수 있는 기능을 갖춘 악성 앱이었다는 점에서 과거 공격과 차이를 보인다.

또 카스퍼스키랩은 북한 해킹 조직으로 추정되는 블루노로프(BlueNoroff)가 미얀마의 한 은행을 공격한 정황도 발견됐다고 밝혔다.

카스퍼스키랩은 해당 은행과 공조, 조사를 통해 블루노로프가 공용 로그인 정보와 파워셀 스크립트를 이용해 측면 공격을 감행한 것으로 추정했다. 이를 통해 중요 호스트 정보를 알아냈다는 것.

이번 공격에는 패시브·액티브 백도어, 터널링 도구 등 다양한 종류로 활용될 수 있는 흔치 않은 구조의 악성코드를 사용했다는 것도 특징. 이는 탐지와 분석을 늦추기 위한 것으로 풀이됐다.

아울러 이번 보고서에는 라자루스 하위 조직으로 알려진 안다리엘(Andariel)의 최신 공격 트렌드 분석도 담았다. 이는 취약한 웹로직 서버에 새 명령제어서버(C2)를 설치한 수법이다 이를 통해 안다리엘은 국내 한 보안기업이 보유한 서명에 악성코드를 심은 것으로 의심됐다.

카스퍼스키랩 측은 "이 악성코드는 '아폴로제우스'로 불리는 백도어로 기존에는 없었던 종류"라고 설명했다.

한편, 지난 9월 미국 재무부는 라자루스, 블루노로프, 안다리엘 등 북한으로 추정되는 해킹그룹 3곳을 특별 제재 대상으로 지정한 바 있다.