​

북한이탈주민(탈북민) 자문위원들에게 의견을 수렴하는 내용처럼 위장한 HWP 악성 문서 기반 北 연계 해킹 공격이 발견되어 사용자들의 각별한 주의가 필요합니다. 

이번 공격은 마치 북한이탈주민 자문위원을 대상으로 한 의견수렴 설문지처럼 위장한 것이 특징이며, 공격자는 HWP 한글 문서 내부에 OLE(개체 연결 삽입) 기능을 악용했습니다. 

공격자는 수신자가 문서를 실행하면 ‘상위 버전에서 작성한 문서입니다.’ 등의 가짜 메세지 창을 띄워 사용자의 클릭을 유도하며 사용자가 확인 버튼을 누르면, HWP 파일 내 삽입되어 있는 OLE 기능을 통하여 배치(Bat) 파일과 파워셸(Powershell) 명령어를 통해 국내 특정 서버로 통신을 시도합니다. 

해당 메세지 창은 정상 HWP 문서에서도 자주 볼 수 있는 문구이기 때문에 사용자들이 별 의심없이 [확인]버튼을 클릭할 수 있습니다. 이는 HWP의 보안 취약점이 아니기 때문에 버전과 상관 없이 한컴 오피스를 사용하는 사용자들이 공격 대상이 될 수 있어 이러한 별도이 메세지 창이 뜨면 클릭 전 각별한 주의를 기울여야 합니다.

주목할 점은, 명령제어(C2) 서버로 통신을 시도할 때, 외부에 노출되는 것을 숨기기 위하여 작업 스케줄러에 잠복 기능처럼 동작 조건을 추가했으며, 마치 이스트소프트 프로그램처럼 위장하는 수법을 사용했다는 것입니다.

한편, 자유북한운동연합이 지난 4월 25일과 26일 이틀에 걸쳐 경기도 김포지역에서 20개의 대형 애드벌룬으로 약 100만 장의 대북 전단을 살포했다고 주장하고 나선 바 있는데, 이번 악성 파일은 마치 해당 내용의 의견을 수렴하는 것처럼 사칭함으로써 공격에 시기적절하게 활용되었습니다. 

공격자들은 이처럼 실제 언론 등을 통해 알려진 내용을 그대로 차용해 공격 효과를 보다 극대화시키는 전략을 사용하고 있는 점에 주목해야 합니다. 

이번 공격은 지난 2월 유엔인권사무소 사칭 피싱 공격과 마찬가지로 국내 서버를 해킹 중간 거점으로 활용했으며, 동일한 작업 스케줄러 이름과 ‘PEACE’, ‘Lailey’ 아이디 등을 사용된 것을 확인하였습니다. 

이번 공격에 사용된 HWP 공격 수법과 전술 명령 등은 이전의 북한 연계 사이버 공격 사례와 일치한 것으로 분석돼, 배후에 북한 사이버 위협 조직이 있는 것으로 지목되어습니다. 

한편, 이스트시큐리티 ESRC는 이와 관련된 사이버 위협 정보를 한국인터넷진흥원(KISA) 등 관계 당국과 긴밀히 공유해 기존에 알려진 위협이 확산되지 않도록 협력을 유지하고 있습니다.