북한과 연계된 해킹 조직이 애플 맥(macOS) 이용자를 겨냥해 운영체제 업데이트를 가장한 악성코드 유포 활동을 벌이고 있는 것으로 확인됐다.
1일 미국의소리(VOA)에 따르면 미국 사이버보안업체 올시큐어(AllSecure)는 최근 공개한 보고서에서 북한 연계 해킹 조직이 맥 이용자를 대상으로 새로운 악성코드 유포 활동을 벌이고 있다고 분석했다.
북한 해커들은 사용자를 가짜 웹페이지로 유인한 뒤 맥 운영체제가 업데이트되거나 오류를 복구하는 것처럼 보이는 전체 화면을 띄워 악성코드 설치를 유도한다.
가령 이용자가 검색엔진에서 특정 기업 관련 광고를 클릭하면 가짜 페이지가 열리고, 컴퓨터가 재부팅되거나 멈춘 것처럼 보이는 화면이 나타난다.
이후 문제 해결 방법을 안내하며 터미널(Terminal) 앱을 열어 특정 명령어를 입력하도록 유도하는데, 해당 명령어를 실행하면 악성 프로그램이 설치되는 방식이다.
올시큐어는 이 같은 수법이 이른바 '클릭픽스(ClickFix)' 공격 기법을 활용한 사례라고 설명했다. 실제로 한 피해자는 의료·연구 장비 업체를 검색하다 광고를 클릭한 뒤 악성코드에 감염된 것으로 조사됐다.
아울러 이번 공격의 최종 목적이 가상자산 탈취라고 분석했다.
악성코드가 설치되면 157개의 가상자산 지갑 정보는 물론 크롬과 파이어폭스 등 주요 인터넷 브라우저에 저장된 각종 정보가 탈취된다.
여기에 '구글 드라이브 오프라인'으로 위장한 악성 브라우저 확장 프로그램까지 함께 설치돼 피해자의 가상자산 지갑에서 자산을 직접 빼내는 기능도 수행하는 것으로 파악됐다.
또 악성코드는 이더리움 블록체인을 활용해 명령·제어(C2) 서버 주소를 받아오는 '이더하이딩(EtherHiding)' 기법도 사용하는 것으로 분석됐다. 서버 주소를 실시간으로 변경할 수 있어 차단과 추적이 쉽지 않은 것이 특징이다.
올시큐어는 "북한의 사이버 공격은 그동안 가짜 취업 면접이나 개발자 채용을 미끼로 한 사례가 주를 이뤘지만, 이번 사례는 일반 웹 검색 환경으로까지 공격 범위가 확대됐음을 보여준다"며 "기존 수법이 사라진 것이 아니라 위협이 더욱 넓어진 것"이라고 진단했다.
이와 관련, 매체에 따르면 미국 정부는 북한이 핵·미사일 개발 자금의 상당 부분을 이 같은 사이버 공격과 가상자산 탈취를 통해 조달하는 것으로 보고 있다.
Copyright ⓒ 경기일보 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
