를 활...'))
북한 배후로 지목돼 온 해킹 조직들이 윈도우 바로가기(LNK)를 활용한 공격을 점차 정교화하고 있다는 분석이 나왔다.
금융보안원은 국가배후 해킹조직의 LNK 악성코드 기반 공격을 분석한 보고서 ‘Campaign Dark Prism’을 23일 발간했다. 지난해 1월부터 올해 9월까지 수집한 200여 개의 LNK 악성코드를 분석하고, 허니팟을 활용해 공격 전술과 흐름을 관찰한 결과다.
LNK 악성코드는 정상 파일로 위장한 바로가기를 통해 악성코드를 실행하는 방식으로, 사용자가 클릭하면 원격제어 악성코드(RAT)가 설치돼 공격자가 피해자의 PC를 장악할 수 있다.
보고서에 따르면 국가배후 해킹조직들은 LNK 악성코드를 공통적으로 활용하면서도, 조직별로 코드 구조와 공격 전술을 달리하며 탐지를 회피해 왔다. 난독화 기법을 추가하거나 실행 흐름과 암호화 방식을 변경하는 등 악성코드 구조를 지속적으로 변형한 점이 확인됐다.
또 LNK 실행 이후 곧바로 RAT를 설치하지 않고, 사전에 시스템 정보를 수집한 뒤 정찰 결과에 따라 실제 공격 여부를 결정하는 선별적 공격 방식도 나타났다.
해커들은 공통적으로 정부 기관 등을 노렸으나 스카크러프트(Scarcruft)의 경우 외교·국방 분야와 민간·언론 등을 대상으로 간헐적인 공격을 벌인 반면, 김수키(Kimsuky)는 금융·연구기관·대학 등을 노려 빈번한 공격과 코드 변형을 반복했다. 코니(Konni)는 금융·IT 분야를 겨냥해 동일한 공격 코드를 반복 사용한 특징을 보였다.
금융보안원 박상원 원장은 “국가배후 해킹조직의 금융권 대상 사이버 위협이 점차 정교해지는 가운데, 공격자의 공격 전술과 행동 패턴에 대한 이해를 바탕으로 한 인텔리전스 주도형 사이버 대응체계를 확립하는 것이 중요하다.”고 밝혔다.
금융보안원은 출처가 불분명한 파일을 실행하지 말고, 특히 첨부파일의 확장자를 반드시 확인하는 등 기본적인 보안 수칙을 지켜야 한다고 당부했다.
보고서는 금융보안원 홈페이지의 자료마당 메뉴의 인텔리전스 보고서 칸에서 열람할 수 있으며, 악성코드 위협에 대한 보다 자세한 내용이 실려있다.
후원하기
이 기사에 대해 어떻게 생각하시나요?
추천해요
좋아요
감동이에요
화나요
슬퍼요
추천해요0
좋아요0
감동이에요0
화나요0
슬퍼요0
기사제보 
