북한 해커, 미국 페이퍼컴퍼니 통해 암호화폐 개발자 겨냥 악성코드 유포

북한 라자루스 그룹(Lazarus Group) 소속 해커들이 미국 내 페이퍼컴퍼니를 설립해 암호화폐 개발자를 대상으로 악성코드를 배포한 정황이 포착되면서, 미국 내 사업자 등록 시스템의 취약성이 드러났다.

26일(현지시간) 크립토포테이토에 따르면, 사이버 보안 기업 사일런트푸시(Silent Push)는 북한 해커들이 뉴멕시코주 블록노바스(Blocknovas LLC)와 뉴욕주 소프트글라이드(Softglide LLC)라는 가짜 회사를 세워 암호화폐 개발자들을 대상으로 악성코드를 유포했다고 밝혔다. 해커들은 가짜 이름, 주소, 서류를 사용해 미국 내 사업자 등록을 완료하고, 링크드인(LinkedIn)과 같은 플랫폼을 통해 가짜 채용 공고를 게시한 뒤, 지원자들에게 채용 과정 일환으로 악성코드를 다운로드하도록 유도하였다. 특히 블록노바스는 사우스캐롤라이나주에 존재하지 않는 빈터를 주소지로 등록해 활동한 것으로 나타났다.

이번 공격에 사용된 악성코드는 이전에 북한 해커 조직이 사용한 것으로 알려진 데이터 탈취, 원격 제어, 네트워크 침투 기능을 갖춘 프로그램이었다. FBI는 블록노바스의 도메인을 압수하고, 해당 웹사이트에 피해자 경고 문구를 게시하였다. 라자루스 그룹은 과거에도 ‘클릭픽스(ClickFix)’ 캠페인을 통해 중앙화 금융(CeFi) 분야 취업 희망자를 노리고 악성코드를 배포한 바 있다. 2021년에는 가짜 채용을 미끼로 액시인피니티(Axie Infinity) 기반의 로닌브리지(Ronin Bridge)에서 6억2500만달러를 탈취한 사건도 있었다. 전문가들은 북한 해커들의 이 같은 수법이 앞으로도 계속될 가능성이 높다고 경고하고 있다.