북한 라자루스, 국내 학회·언론사 웹사이트 악성코드 거점으로 악용 정황

정상 웹사이트가 악성코드 통신 거점으로 전락

북한과 연계된 해킹 조직인 라자루스가 국내 기업들을 대상으로 사이버 공격을 수행하는 과정에서 대한산부인과학회와 언론사, 건설사 등 정상적인 웹사이트들을 악성코드의 명령제어(C2) 거점으로 활용했을 가능성이 드러났다. 글로벌 보안 전문 기업인 카스퍼스키가 발표한 '오퍼레이션 플래시홀' 보고서에 따르면, 대한산부인과학회 홈페이지 주소를 포함한 국내 다수 웹사이트의 URL이 라자루스 악성코드의 침해지표(IoC)에 포함된 것으로 확인됐다.

이러한 침해지표는 사이버 공격이 이미 발생했거나 현재 진행 중임을 시사하는 기술적 근거가 된다. 보안 전문가들은 이 정보를 바탕으로 시스템 접속 기록 등을 면밀히 대조하여 공격의 흔적을 찾아낼 수 있다. 다만, 해당 웹사이트들이 구체적으로 어떤 방식으로 이용되었는지, 혹은 서버가 어느 정도까지 침입당했는지는 아직 명확히 밝혀지지 않았다. 개인정보 유출 여부 역시 확인되지 않아 추가적인 정밀 조사가 필요한 상황이다.

다양한 산업군 겨냥한 정밀 사이버 첩보 작전

카스퍼스키는 이번 '플래시홀' 작전을 북한의 라자루스 조직이 국내 기업들을 표적으로 삼아 벌인 사이버 첩보 활동으로 규정했다. 보고서 분석 결과, 건설, 유선통신장비 제조, 산부인과 분야에서 최소 3개의 조직이 이번 공격의 영향권에 들어간 것으로 나타났으며, 관련 공격 흔적은 지난 2023년 7월까지 거슬러 올라간다. 공격자들은 대상자가 관심을 가질 만한 가짜 이력서나 포트폴리오 사이트 링크를 이메일로 발송하여 수신자를 유인한 뒤, 악성 사이트로 접속하게 만드는 수법을 사용했다.

이 과정에서 국내에서 흔히 쓰이는 보안 프로그램인 크로스웹(Crossweb)이 감염 경로에 관여했을 가능성이 높다는 분석도 나왔다. 카스퍼스키는 클라이언트허브(ClientHub)와 같은 신종 악성코드를 발견했으며, 이 도구들이 감염된 기기에서 명령을 수행하고 공격자와 통신하는 핵심 기능을 담당한다고 설명했다. 공격자들은 일반적인 웹 서비스 접속과 유사한 형태를 취함으로써 악성 통신을 정상적인 트래픽과 구별하기 어렵게 만드는 교묘한 방식을 사용했다.

보안 위협에 따른 후속 조치 진행

악성코드가 지정된 주소에 접속해 지시를 받고 그 결과를 다시 전송하는 방식의 통신 거점 활용은 공격자가 자신의 흔적을 숨기기에 매우 유리하다. 하지만 현재 공개된 보고서에는 학회 주소와 관련된 구체적인 통신 기록이나 서버 침해 시점이 명시되지 않아, 실제 회원들의 개인정보가 유출되었는지 혹은 학회 서버의 침해 범위가 어디까지인지는 파악하기 어렵다. 현재 대한산부인과학회 측은 보안 업체에 이 사실을 통보하고 데이터 유출 여부를 포함한 정밀 확인 절차를 밟고 있다고 밝혔다.