북한 해커, 맥 노린 새 수법…가짜 업데이트로 가상자산 노린다

검색광고 클릭 유도…터미널 명령 입력해 악성코드 설치

157개 가상자산 지갑·클라우드 계정 탈취…이더하이딩 기법

ⓒ클립아트코리아

북한에 연계된 해킹 조직이 애플 컴퓨터의 운영체제(macOS)를 표적으로 악성코드 유포 활동을 벌이고 있는 것으로 파악됐다고 미국의소리(VOA) 방송이 1일 전했다.

미국의 사이버 보안업체 '올시큐어(AllSecure)'는 최근 보고서에서 북한 해커들이 사용자를 가짜 웹페이지로 유인한 뒤, 컴퓨터 운영체제가 업데이트되는 것처럼 속여 악성코드를 심는 방식을 활용한다고 분석했다.

가령 이용자가 검색엔진의 스폰서 광고를 클릭하면 가짜 페이지가 열리면서 맥 운영체제가 재부팅되거나 멈춘 것처럼 보이는 전체화면이 나타난다. 이후 오류 수정 방법이 안내되지만, 안내에 따라 터미널 앱에 특정 명령어를 붙여넣으면 실제로는 사용자가 직접 해커의 악성코드를 시스템에 입력하게 되는 방식이다. 이 수법은 이른바 '클릭픽스(ClickFix)'로 불린다.

특히 이번 캠페인은 명령제어(C2) 서버 주소를 이더리움 스마트컨트랙트에 숨겨두는 '이더하이딩(EtherHiding)' 기법을 사용해 탐지·차단이 어렵다는 점이 특징으로 꼽힌다. 올시큐어는 이 수법이 가짜 채용 면접이나 개발자 구인을 가장해 접근하던 기존 북한 해킹조직 '컨테이저스 인터뷰(Contagious Interview)'의 방식과 연관돼 있다고 설명했다.

해커들의 목표는 가상자산 탈취다. 공격이 성공하면 크롬, 파이어폭스, 브레이브, 엣지, 오페라, 비발디 등 주요 브라우저에 저장된 정보와 함께 157개 가상자산 지갑 정보, SSH·AWS·Azure 접속 정보, npm 설정 파일 등을 탈취하는 프로그램이 설치된다. 이와 함께 '구글 드라이브 오프라인'으로 위장한 악성 브라우저 확장 프로그램도 함께 설치돼 피해자의 가상자산을 빼돌리는 기능을 수행한다.

올시큐어는 "이번 사례는 일반적인 웹 검색 환경에서도 북한 해킹 조직의 공격이 이뤄질 수 있음을 보여준다"며 공격 범위가 기존보다 넓어졌다고 밝혔다.