북한 연계 해킹 조직이 애플의 맥 운영체제(macOS)를 겨냥한 악성코드 공격을 벌이며 가상자산 탈취 범위를 확대하고 있는 것으로 확인됐다. 기존에는 특정 기관이나 기업을 겨냥한 표적 공격이 주를 이뤘다면, 이제는 일반 웹 검색 이용자까지 공격 대상으로 삼는 양상이 나타났다는 분석이 제기됐다.

[연합뉴스제공]

▲ 가짜 업데이트 화면으로 악성코드 설치 유도

미국의소리(VOA)에 따르면 미국 사이버 보안업체 올시큐어는 최근 보고서를 통해 북한 해커들이 가짜 웹페이지를 활용한 새로운 공격 방식을 사용하고 있다고 밝혔다.

공격은 이용자가 검색엔진에서 특정 기업 관련 광고를 클릭하는 순간 시작된다. 이후 정상 사이트처럼 꾸며진 페이지가 열리면서 맥 운영체제가 업데이트되거나 시스템이 멈춘 것처럼 보이는 화면을 띄워 이용자의 불안감을 자극했다.

이어 오류를 해결하는 방법을 안내하는 과정에서 사용자가 직접 명령을 입력하도록 유도하며, 이 과정에서 실제로는 해커의 악성코드가 시스템에 설치되도록 설계됐다고 분석했다.

▲ 157개 가상자산 지갑 정보까지 노려

공격이 성공하면 가상자산을 노린 정보 탈취 프로그램이 설치되는 것으로 조사됐다.

해당 악성코드는 157개 가상자산 지갑의 정보를 비롯해 크롬과 파이어폭스 등 주요 인터넷 브라우저에 저장된 로그인 정보와 각종 데이터를 수집하는 기능을 수행했다.

특히 가상자산을 보관하는 이용자들에게 직접적인 금전 피해를 입힐 수 있다는 점에서 기존 악성코드보다 위험성이 더욱 커졌다는 평가가 나왔다.

▲ 브라우저 확장 프로그램까지 악용

해커들은 악성 브라우저 확장 프로그램도 함께 설치하는 수법을 활용했다.

이 프로그램은 '구글 드라이브 오프라인'으로 위장해 설치되며, 피해자의 의심을 피하는 동시에 가상자산 지갑에 접근해 자산을 직접 탈취하는 기능까지 수행하는 것으로 파악됐다.

정상 서비스로 위장한 프로그램이 설치되기 때문에 이용자가 감염 사실을 인지하기 어려운 점도 이번 공격의 특징으로 꼽혔다.

▲ 일반 웹 검색까지 공격 범위 확대

[연합뉴스제공]

올시큐어는 이번 사례가 북한 해커들의 공격 범위가 기존보다 크게 확대됐음을 보여주는 사례라고 평가했다.

보고서는 일반적인 웹 검색 환경에서도 북한 연계 공격이 확인되고 있다며, 특정 대상만 노리던 기존 방식에서 벗어나 불특정 다수를 겨냥하는 형태로 진화하고 있다고 지적했다.

전문가들은 운영체제 업데이트는 반드시 공식 설정 메뉴나 제조사의 안내를 통해 진행하고, 웹페이지에서 명령어 입력이나 프로그램 설치를 요구할 경우 즉시 중단하는 등 기본적인 보안 수칙을 철저히 준수해야 한다고 강조했다.