파이어아이 코리아(지사장 전수홍 https://www.fireeye.com)는 22일 본사 발표를 인용, 지난 11월 14일, 다양한 업종의 고객사 가운데 스무 곳 이상에서 새로운 피싱 활동을 감지했다고 발표했다.

이번 공격자는 특정 병원의 이메일 서버와 특정 컨설팅 업체의 웹사이트를 해킹해 이들의 인프라를 이용해 피싱 이메일을 전송한 것으로 보인다.

피싱 이메일은 미 국무성의 공보 담당자가 보낸 보안 커뮤니케이션인 것처럼 보이도록 조작됐다.

또한 다른 미 국무성 공보 담당자의 개인용 드라이브처럼 위장된 페이지에서 호스팅이 이뤄졌으며, 미 국무성의 공식 양식이 사용됐다.

이같은 정보는 공개적으로 이용할 수 있는 자료를 통해 습득이 가능한 것으로, 미 국무성 네트워크가 이번 피싱 캠페인에 관여된 징후는 없다고 파이어아이는 밝혔다.

공격 단체는 피싱 이메일마다 고유 링크를 사용했으며, 파이어아이가 파악한 해당 링크는 하나의 압축(ZIP) 파일을 다운로드 하도록 사용됐다.

해당 파일에는 공격용으로 조작된 윈도용 바로가기 파일이 포함돼 있어 평범한 유인용 문서와 공격 단체가 정상적인 네트워크 트래픽 내에 숨어들 수 있도록 맞춤 구성된 코발트 스트라이크 비컨 백도어를 동시에 호출한다.

피싱 이메일과 네트워크 인프라에 투입된 리소스, 공격용으로 조작된 바로가기 파일 페이로드(payload)의 메타데이터(metadata), 공격 대상이 된 개인 및 기관 등 이번 피싱 캠페인에서 발견된 몇 요소들은 2016년 11월에 마지막으로 관찰된 APT29의 피싱 캠페인과 직접적으로 연결된다.

◆속성 관련 이슈사항은 = 2018년 11월 14일에 발생한 피싱 캠페인과 APT29의 소행으로 의심되는 2016년 11월 9일의 피싱 캠페인 간에는 모두 미국 선거 직후에 벌어졌다는 점 외에도 몇 유사성과 기술적으로 중첩되는 사항이 존재한다.

다만, 최근 피싱 캠페인에는 동일한 시스템을 이용해 윈도용 바로가기(LNK) 파일을 공격용으로 조작하는 등 기존 피싱 TTP를 고의적으로 재사용한 것만큼 특이하고 새로운 요소도 포함돼 있다.

APT29는 상당히 정교한 기술을 사용하는 공격자로, 비록 뛰어난 해커가 실수를 저지르지 않는 것은 아니나 노골적으로 보이는 실수는 러시아 정보기관이 전통적으로 활용해온 속임수를 고려할 때 다소 의구심을 자아내게 한다.

APT29의 소행으로 판가름난 활동이 벌어진 지 1년이 넘어 이처럼 오랜 휴지기 후 이번 피싱 활동이 나타나게 된 시기와 유사성에 대해 의심을 갖게 된다.

이번 피싱 캠페인과 2016년 피싱 캠페인 간의 뚜렷한 유사점이라면 윈도용 바로가기 메타데이터, 목표 대상이 된 단체 및 특정 개인, 피싱 이메일의 구조, 그리고 해킹한 인프라를 사용한 점이라고ㅗ 파이어아이는 추정했다.

확연한 차이라면 맞춤 구성식 악성 소프트웨어가 아닌 코발트 스트라이크를 사용한 점이지만, 대다수의 해커는 혐의를 부인하기 위해 공개된 상업용 프레임워크를 사용하기도 한다.

한편, 이번 피싱 캠페인이 벌어지는 동안, 악성 소프트웨어를 호스팅하는 사이트들이 선별적으로 페이로드를 제공했다는 몇 가지 증거가 발견됐다.

예를 들러, 잘못된 HTTP 헤더를 이용한 요청들에 의해 제공된 압축 파일에는 공개적으로 알려져 있는 정상적인 미 국무성 양식만 포함돼 있었던 것으로 보고됐다.

해당 해커 집단이 방문한 링크에 따라 추가적으로 다양한 페이로드를 제공했을 수도 있다.

파이어아이가 확인한 것은 정상적인 페이로드와 코발트 스트라이크 변형 페이로드, 두 가지 종류 뿐이었다.

◆전망 및 시사점 = 이번 피싱 활동의 분석은 현재도 진행 중이지만, APT29의 소행으로 보이는 속성이 더욱 공고해질 경우 1년 만에 이 집단의 공격 활동이 처음으로 밝혀지게 된다.

목표 대상을 광범위하게 잡는다는 특성을 고려할 때, APT29의 공격 대상이었던 기관은 이번 피싱 활동을 예의주시해야 한다.

네트워크 관리자들의 경우, 이번 피싱 활동이 APT29의 소행인지 여부와 관계 없이 침입 시도의 전체 범위를 적절히 조사해야 한다.

APT29가 파악하기 어렵고 교묘한 속임수에 능한 탓에 이들이 실제로 침입에 성공할 경우 가히 치명적이기 때문이다.

<김동기 기자>kdk@bikorea.net