북한이 ‘이태원 참사’를 악용해 사이버 공격을 감행한 사실이 확인됐다.
구글의 위협분석그룹(TAF)은 8일 홈페이지에 공개한 보고서에서 지난 10월 말 북한 해킹조직 ‘APT37’이 ‘용산구 이태원 사고 대처상황- 2022.10.31(월) 06:00 현재’라는 제목의 워드 파일에 악성코드를 심어 유포했다고 밝혔다.
해당 파일은 중앙재난안전대책본부 보고서 양식을 모방해 작성됐으며 사고개요와 인명피해, 조치 상황 등이 적혀 있다. 해당 문서를 다운로드 받으면 원격 HTML 렌더링을 통해 이용자들의 기기에 악성 소프트웨어가 설치됐다.
TAG는 보고서에서 “해당 파일은 2022년 10월29일 서울 용산구 이태원에서 일어난 비극적인 사건을 언급하고 있다”며 “사고에 대한 대중의 광범위한 관심을 미끼로 이용했다”고 비판했다. 이어 “APT37이 배포한 악성코드는 아직 구체적으로 확인되지 않았으나 이 조직은 과거 돌핀이나 블루라이트 등의 악성코드를 배포한 적이 있다”고 설명했다.
APT37은 ‘금성121’, 스카크러프트’, ‘레드 아이즈’, ‘그룹123’ 등 다양한 이름으로 불리며 최신 보안 취약점을 이용해 국내 대북 단체와 국방 분야 관계자들을 공격해왔다. 앞서 2019년 통일부 해명자료처럼 꾸민 이메일에 악성코드를 심어 배포한 바 있다. 또 2018에도 네이버 백신앱으로 위장한 스마트폰용 악성파일을 유포하기도 했다.
TAG는 다수의 국내 이요자로부터 제보를 받은 후 지난 10월31일 해킹 사실을 인지하게 됐다며 해당 취약성을 발견한 후 몇 시간 이내에 마이크로소프트 측에 이에 대해 통보했다. 이후 마이크로소프트 측은 지난달 8일 사용자를 보호하기 위한 패치를 진행했다.
