美 보안업체 "북한 해커, 가짜 구인 광고로 암호화폐 해킹 시도"

북한 해커들이 가짜 구인 제안을 보내 암호화폐 계정에 침입을 시도하고 있다고 미국의 인터넷 보안업체가 주장했다.

미국 캘리포니아에 기반을 둔 정보기술(IT) 보안업체 프루프포인트(Proofpoint)는 보고서에서 북한 해커들이 '스타트업 정신(startup mentality)'을 보여주고 있다며 가상화폐 해킹을 위해 새로운 방법을 테스트하고 있다고 27일(현지시간) 밝혔다.

프루프포인트의 보고서는 '티에이444(TA444)'라는 북한 해커 조직에 주목했다. 보고서는 TA444를 북한의 해킹 조직으로 알려진 에이피티38(APT38), 라자루스와 같이 북한 정권과 연계된 조직으로, 북한 정권을 위해 수익을 창출하는 임무를 맡을 가능성이 있으며 북한이 후원하는 지능형 지속적 위협 단체라고 분석했다.

보고서는 이 조직이 다른 해킹 그룹과 같이 북한의 수익 창출 임무를 맡으면서 2017년부터는 가상화폐 해킹을 겨냥한 활동을 하고 있다고 설명했다.

특히, 지난해 12월에는 미국과 캐나다의 금융, 교육, 정부, 의료 분야를 겨냥한 대규모 피싱 공격을 시작했다고 밝혔다.

프루프포인트에 따르면 TA444는 이용자의 비밀번호와 로그인 정보를 얻기 위해 기존과는 다른 방법을 사용했다.

해커들은 피싱 필터를 피하려고 이메일을 이용한 접근 방식을 사용했다. 이들은 타깃이 되는 대상을 유인하기 위해 유명 기업의 구인 제안이나 연봉 조정, 가상화폐 블록체인 분석과 같은 위장 콘텐츠로 접근했다.

보고서에 따르면, 이 그룹은 첨부 파일에 악성 코드가 포함된 이메일을 가진 개인을 표적으로 삼아 궁극적으로 암호화폐 지갑에 액세스할 수 있는 것으로 알려졌다.

프루프포인트는 '급여 조정'을 언급하는 첨부 파일이 포함된 TA444의 해킹용 이메일을 밝혔다.

해당 이메일에는 '관리자'(Admin)라는 용어와 대상이 된 도메인 이름이 사용됐지만, 메일 주소([email protected]) 등은 동일했다. 이 이메일을 클릭하면 이용자는 개인 정보를 수집하는 페이지로 유인된다는 설명이다.

TA444는 이용자들을 접촉하기 위해 최근 가장 인기 있는 이메일 마케팅 플랫폼 중 하나인 센드인블루(SendInBlue), 센드그리드(SendGrid)를 사용했고, 소셜 미디어 네트워킹 서비스 링크트인에도 의존했다고 보고서는 덧붙였다.

[email protected]