Kimsuky APT 그룹의 Storm 작전과 BabyShark Family 연관 분석

지니언스 시큐리티 센터에서  위협분석 보고서를 발간했습니다. 이 보고서는 최신 사이버 위협과 취약점을 조사하고, 신속한 대응과 예방을 위한 정보를 제공합니다.  (전문보기 아래 링크)

주요 요약 (Executive Summary)

• 외교부 평화체제과, 통일부 인도지원과 등 소속 공직자 사칭 비공개 면담 빙자해 접근
• 악명높은 김수키(Kimsuky) APT 그룹의 정찰 및 침투용 BabyShark 공격 툴킷 발견
• 북한문제 전문가를 포함해 외교·통일분야 특정 인물 표적삼아 사이버 첩보행위 진행
• 파일리스(Fileless) 등 은닉형 위협의 효과적인 대응을 위해 Genian EDR 활용 가능
  
  

1.개요 (Overview)

1.1. 배경 (Background)

○ 지니언스 시큐리티 센터(이하 GSC)는 2023년 상반기부터 9월 전후까지 일명 김수키(Kimsuky) 그룹¹의 사이버 정찰·침투 활동이 국내서 활발히 전개 됨을 포착해 조사를 진행했습니다. 이들 그룹의 위협 활동은 갑자기 증가했다거나 감소했다는 표현보다, 평소에 지속되고 있다는 표현이 적절해 보입니다. 이미 일상화된 실존 위협으로 지적해도 전혀 과언이 아닐 정도로 우리사회에 가깝게 다가와 있는 사실을 부정하기 어렵습니다.

○ GSC는 본 위협 인텔리전스 보고서를 통해 국내서 발생 중인 지능형지속위협(APT) 동향을 공유하고, TTPs(Tactics, Techniques and Procedures)² 관점의 분석 내용을 제공하고자 합니다. 이는 국내서 발생 중인 사이버 안보 위협을 보다 능동적으로 파악하고, 지니언스 Genian EDR³ 서비스를 통해 보다 효과적인 대응 방안 수립과 위협 인사이트 제공에 주목적이 있습니다.

○ 김수키는 글로벌 사이버 안보 위협 중 한국을 주요 공격 대상에 포함한 대표적 북한 정찰총국 연계 해킹 그룹을 지칭하는 별칭이며, 지난 2013년 9월 러시아 보안기업 분석 보고서⁴를 통해 처음 소개 됐습니다. 당시 한국은 이미 유사한 해킹 공격이 다수 식별됐지만, 북한 소행의 해킹 공격은 남북한간 정치적 이해관계 등 여러모로 고려할 사항이 있었고, 증거기반 침해사고 조사가 면밀히 진행됐던 시기입니다.

○ 이들은 2014년 한국의 에너지분야 핵심 국가기반시설인 한국수력원자력 발전소를 상대로 해킹을 시도했고, 외교안보 전문가 등을 상대로 글로벌 첨단기술을 절취한 혐의로 대북제재 대상 지정 및 여러 보안권고문 등에 포함됐습니다.⁵

1.2.    초기 공격 벡터 (Initial Attack Vectors)

○ 지난 2023년 06월 21일 외교부 평화체제과 사무관을 사칭해 한반도평화교섭본부 통일외교 세션으로 위장된 참석요청 이메일이 발견됩니다. 처음 수신된 이메일에는 별도의 첨부파일이나 본문내 URL 링크가 존재하지 않는 평범한 업무 메일처럼 보입니다.

[그림 1-1] 해킹 공격에 쓰인 피싱 이메일 및 발신 도메인 정보

○ 발신지 이메일 주소를 살펴보면, 외교부의 공식 도메인(mofa.go[.]kr)과 비슷하게 생성된 가짜 도메인(mofa.go[.]ci) 주소인 것을 알 수 있습니다. 해당 도메인은 Cloud DNS⁶ 호스팅 서비스를 통해 2023년 6월 15일 등록됐고, 인도 기반 다국적 회사인 Zoho Mail⁷ 서비스에 도메인을 연결해 사용했습니다.

○본 위협은 전형적인 투-트랙 스피어 피싱(Two-Track Spear Phishing) 공격 수법이고, 첫 이메일에 반응을 보인 수신자를 선별해 본격적인 타깃 공격을 수행합니다.

○이메일 본문에 포함된 '평화체제과 통일외교 관련 세션 기획(안).pdf' 첨부파일은 국내 특정 호스트(kessol.co[.]kr)로 연결되고, 마치 보안 메일처럼 본문 내용을 위장해 [보안메일보기] 버튼 클릭을 유도합니다.

○해당 버튼을 클릭하면 구글 지메일 로그인 화면으로 위장한 가짜 피싱 화면이 보여지고, 비밀번호 탈취를 시도합니다. 만약 비밀번호가 입력되면 정상 PDF 문서가 보이지만, 이미 계정 정보는 유출된 이후입니다.

[그림 1-2] 피싱 서버로 악용된 한국의 특정 웹 서버 화면

○ 2023년 7월 28일에는 또 다른 인물 상대로 동일 패턴 수법의 공격이 수행됐는데, '0908_평화체제과 통일외교관련 세션 기획(안).pdf' 첨부 파일로 이름이 변경됐고, 악용된 호스트(carbontc.co[.]kr) 주소 역시 변경됐습니다.

○ 8월 31일과 9월 01일에는 통일부 소속 공직자를 사칭한 공격으로 변화가 진행됩니다. 이때 사용된 발신지 이메일의 도메인은 외교부 사칭 주소(mofa.go[.]ci)와 유사한 패턴이 사용됩니다.

[그림 1-3] 피싱 서버로 악용된 한국의 특정 웹 서버 화면

○ 통일부 사칭 공격용 발신지 이메일 도메인(unikorea.go[.]ci) 주소도 외교부 사칭 때와 동일하게 Cloud DNS 호스팅과 Zoho Mail 서비스가 사용됐습니다.

[그림 1-4] 통일부 사칭 도메인(unikorea.go[.]ci) 등록 정보

1.3.김수키 캠페인 내역 (Kimsuky Campaign History)

○ 본 위협 배후는 지난 6월부터 9월 초까지 외교부와 통일부를 번갈아가며 사칭 후 북한문제 전문가를 포함해 외교·통일분야 특정 인물을 상대로 이메일 비밀번호 탈취 피싱 공격을 수행합니다.

○ GSC는 동일한 위협 요소 관찰 중, 일명 '아기상어(BabyShark)' 공격 툴킷이 활용된 정황을 포착했습니다. 참고로 본 유형의 악성 파일은 2019년 2월, Palo Alto Networks, Unit 42 연구원들이 북한 연계 사이버 위협 활동 사례 분석 보고서로 공개했습니다.⁸

○ 한편, 2023년 9월 10일부터 19일까지 한국내에서 김수키 그룹 아기상어 툴킷용 악성 파일 다수가 발견됩니다. 주로 '컴파일된 HTML 도움말 파일(.chm)'과 '바로 가기(.lnk)' 유형이 사용됐습니다. 그리고 일부 공격은 HTML 파일 내부에 압축 파일을 임베디드로 넣는 수법이 사용됩니다.

[표 1-1] 악성 파일별 메타 정보 비교 자료

○ 앞서 표로 정리된 내용 중, 미끼(Decoy)로 사용된 정상 HWP 파일 중 일부는 'Leopard' 계정이 최종 문서 저장자 입니다. 이 계정은 유사 위협 캠페인에서 지속 식별되고 있어 일종의 공격 배후 식별자로 구분됩니다.

○ 아래는 지난 2021년 8월 경, 마치 통일연구원 한반도 군사력 균형평가를 위한 설문 내용처럼 가장한 투-트랙 스피어 피싱 공격 유형입니다.

○ 초반에는 업무상 필요한 연구분야 설문 내용처럼 꾸며졌고, 별도의 위협요소가 없는 정상 이메일로 배달됩니다. 하지만 해당 내용에 회신 등 반응을 보이면, 악성 문서 파일을 첨부하는 등 본격적인 유인 공격 전략을 구사합니다.

○ 당시 확인된 사례에 따르면, '설문조사.doc', '종학.doc' 이름의 악성 MS Word 문서 파일을 첨부해 공격을 수행합니다.

[그림 1-5] 2021년 8월 수행된 유사 공격 이메일 화면

 ○ 각 공격에 쓰인 MS Word 기반 DOC 문서 파일들은 악성 매크로 기능을 통해 작동하는 방식이고, 'Leopard', 'Storm' 등의 계정명이 다수 목격됩니다. 이 때문에 이른바 [작전명 폭풍(Operation Storm)] 카테고리로 명명된 유형이며, 아기상어(BabyShark) APT 공격 시리즈와 연결됩니다.

[그림 1-6] DOC 악성 문서 파일의 실행 모습과 사용자 정보

○ 이전부터 사용된 비슷한 유형을 종합해 보면, 다양한 종류의 파일이 실전 공격에 쓰인 것을 알 수 있고, TTPs 측면에서 공통 패턴이 여러가지 관측됩니다.

○ 공격자는 원격 템플릿 삽입(Remote Template Injection) 기술을 통해 C2 서버에 숨겨둔 별도의 매크로 파일을 호출한 방식도 사용했습니다. 이때는 Template 약어인 [tmp?q=6] 인자값이 쓰였고, 템플릿 파일은 'normal.x' 이름이 사용됩니다.

○ C2 도메인으로 한국내 웹 사이트가 다수 악용됐고, 그누보드(Gnuboard4) 게시판 경로도 존재합니다.

[표 1-2] 과거 유사 악성 파일 비교 분석 자료

○ 공격자 추정의 계정은 'Leopard' 외에 'puma', 'Coyote' 등 육식 동물 이름이 존재합니다.

○ 이번 보고서에 자세히 기술하진 않겠지만, 사실 MS Office 기반 공격 유형에 쓰인 [콘텐츠 사용] 클릭 유도 템플릿에 고유한 디자인이 반복됩니다. 일관된 디자인의 연속성과 일부 변경된 흐름을 통해 위협 행위자 유사도 조사 활용도 가능합니다. 참고로 KISA TTP#9 보고서의 매크로 유도 템플릿과 비슷한 경우가 존재합니다.⁹

[그림 1-7] 'puma', 'Coyote' 사용자 정보가 포함된 악성 문서 파일

○ 악성 DOC 문서파일이 C2로 접속 후 중복실행 방지를 위해 사용된 뮤텍스(Mutex) 값은 'AlreadyRunning191122' 입니다. 해당 문자열은 다수의 Kimsuky APT 캠페인에서 보고됐으며, 이후 'AlreadyRunning19122345' 문자로 변경된 경우도 식별됩니다.

[표 1-3] 동물명 계정이 포함된 악성 파일의 뮤텍스

[표 1-4] CHM 유형 악성파일의 뮤텍스 비교 (일부 * 표기)

○ 김수키 아기상어 시리즈는 보통 [list.php?query=1], [show.php?query=50] 등과 같은 PHP QUERY 인자를 통해 컴퓨터 정보 수집 및 탈취 명령이 작동됩니다. 그런데 [demo.txt] 유형과 상관관계를 비교해 보면 HTML 유사성이 함께 확인됩니다.

[표 1-5] C2 시리즈별 CHM 유형 비교 (일부 * 표기)

○ 더불어 POST 바운더리(Boundary)로 사용되는 '----c2xkanZvaXU4OTA' 문자열이 자주 목격됩니다. 미국 보안기업 센티넬원 김수키 보고서에서도 인용된 바 있습니다¹⁰

[그림 1-8] 정보 탈취에 사용되는 통신 바운더리 문자열 코드

[표 1-6] 파일 유형별 바운더리 문자열 비교

1.4. 과거 작전보안 실패 사례 (OPSEC Fail)

○ 김수키 연계 공격 사례를 조사하다 보면, 위협 행위자가 북한식 단어 표기법을 사용하는 등 신분 노출에 영향을 미치는 표현 실수와 흔적이 존재합니다. 물론, 남북한 간 언어학적 비교 분석 및 문화 차이를 제대로 이해할 수 있어야 합니다. 그럼 2022년부터 2020년까지 과거 사례들을 거슬러 올라가 보겠습니다.

■[사례 A] 한국인터넷진흥원(KISA) 협조요청 메일 위장 건

○ 지난 2022년 6월, 마치 KISA의 사이버 위협 주의 경보 발령 내용처럼 위장해 대북분야 종사자를 겨냥한 공격을 수행한 바 있습니다. 이때 'docx 바이러스 문서 확인 방법.doc' 이름의 악성 문서를 첨부했습니다.

[그림 1-9] 한국인터넷진흥원 사칭한 해킹 메일 화면

○ 당시 수행된 해킹 메일 본문에는 '비대면 서비스'의 북한식 표기인 '비대면 봉사' 표현이 사용됐습니다.

○ 공격에 쓰인 'docx 바이러스 문서 확인 방법.doc' 파일에는 매크로 실행을 유도하는 좌측 가짜 화면을 먼저 보여줍니다. 만약 [콘텐츠 사용] 버튼을 클릭하게 되면 우측 본문을 보여주는데, 여기에 '글이 나타납니다'의 북한식 표기인 '글이 현시됩니다' 표현을 사용했습니다.

[그림 1-10] 북한식 단어 표기법이 포함된 악성 문서 화면

○ 이때 사용된 C2 서버 주소와 뮤텍스는 다음과 같고, 앞서 살펴본 유형과 정확히 일치합니다.

[표 1-7] KISA 사칭 DOC 유형 악성파일 정보

■ [사례 B] 국제정치학회 학술회의 안내 메일 위장 건

○ 지난 2021년 12월, 마치 국제정치학회의 연례학술회의 안내문처럼 위장해 외교 안보 전문가를 표적 삼아 공격을 수행한 바 있습니다. 이때 '국제정치학회 연례학술회의_안내문.doc' 이름의 악성 문서를 첨부했습니다.

[그림 1-11] 국제정치학회 학술회의 안내로 사칭한 해킹 메일 화면

○ 당시 발견된 해킹 메일 본문에는 한자어로 남북한 혼용이 가능하지만, 일반적으로 북한식 문장 표기에 보다 자주 쓰이는 '내부망이 불비하니' 표현이 사용됐습니다.

○ 구글 검색엔진 결과를 살펴보면, '장마철이면 부엌에 물이 차오르고 상하수도망도 불비하여 주민들이 생활상 불편을 느끼고 있었다.'라는 북한 웹 사이트 내부 문구를 확인할 수 있습니다.

○ 더불어 이때 사용된 C2 서버 주소와 뮤텍스는 다음과 같습니다. 앞서 기술한 내용과 거의 동일하며, 마지막 수정자 계정도 'Storm' 이름으로 일치합니다.

[표 1-8] 국제정치학회 사칭 DOC 유형 악성 파일 정보

■ [사례 C] 도널드 트럼프 前 미대통령 문서 위장 건

○ 지난 2020년 3월, 한국내 특정 정치인처럼 사칭한 공격자는 도널드 트럼프 전 미국 대통령과 관련된 문서 파일처럼 조작한 'Letter to President Donald Trump.doc' 이름의 악성 문서로 공격을 수행합니다.

[그림 1-12] 특정 정치인이 발송한 것처럼 사칭한 해킹 메일 화면

○ 초기 시절 사용된 C2 서버 주소는 한국 웹 호스팅 업체 도메인도 자주 악용됐으며, [search.hta] 파일과 [eweerew.php?er=1], [download.php?param=res1.txt] 인자 유형 등이 연결됐습니다.

○ 그런데 당시 여기서 사용된 'download.php' 파일 내부에서 '스파이와 련동'이라는 북한식 단어 표기가 주석으로 달린 것이 확인됩니다. 이 PHP 파일은 2023년까지 계속 재활용 됩니다.

[그림 1-13] PHP 파일 내부에 주석처리된 북한식 단어 화면

¹ [Malpedia] Kimsuky

² [Wikipedia] Tactics, Techniques and Procedures
³ 지니언스 Genian EDR
⁴ [Kaspersky Lab] The “Kimsuky” Operation: A North Korean APT?
⁵ DPRK Cyber Actors Impersonating Targets to Collect Intelligence
⁶ Cloud DNS 호스팅
⁷ [Wikipedia] Zoho Corporation
⁸ New BabyShark Malware Targets U.S. National Security Think Tanks
⁹ TTPs #9: 개인의 일상을 감시하는 공격전략 분석
¹⁰ [sentinelone] Kimsuky | Ongoing Campaign UsingTailored Reconnaissance Toolkit