“MS 보안팀이래서 믿었다”…클릭 한 번에 키보드·화면까지 다 털렸.....

클립아트코리아마이크로소프트(MS) 보안팀을 사칭한 이메일로 한국 사용자 PC에 침투하는 신종 악성코드가 발견됐다. 북한 연계 해킹조직의 소행으로 의심되는 이 악성코드는 키보드 입력 기록은 물론 화면 캡처와 마이크 녹음까지 가능한 것으로 분석돼 각별한 주의가 요구된다.16일 국내 보안 기업 지니언스에 따르면 최근 북한 연계 해킹조직 APT37의 소행으로 추정되는 악성코드 ‘나왈랫’(NarwhalRAT)이 한국 사용자를 겨냥해 유포되고 있는 것으로 파악됐다.공격은 MS 계정 보안 경고처럼 위장한 스피어피싱 이메일에서 시작된다. 이메일에는 “MS 계정에서 일회용 인증코드(OTP)가 반복 생성되는 이상 징후가 감지됐다”는 내용이 담겼다.발신자명은 ‘Microsoft 계정 팀’으로 표시되지만 실제 발신 도메인은 MS 공식 도메인이 아닌 것으로 확인됐다. 사용자가 이를 진짜 보안 안내로 오인할 가능성을 노린 방식이다.메일은 계정 탈취 가능성을 언급하며 첨부된 보안 안내문을 확인하라고 유도한다. 압축 파일을 풀면 한글 문서처럼 보이는 악성 바로가기(.lnk) 파일이 나타난다. 해당 파일을 실행하면 겉으로는 정상적인 보안 안내 문서가 열리지만 그 이면에서는 악성코드 설치가 진행되는 구조다.이번 악성코드는 한국 사용자 환경을 겨냥해 설계된 정황도 확인됐다. 지니언스는 악성코드가 설치된 뒤 컴퓨터 내부에 ‘naverwhale’(네이버웨일)이라는 이름의 폴더를 작업 디렉터리로 생성한다는 점에 주목했다.‘naverwhale’ 폴더명은 국내에서 널리 쓰이는 네이버 웨일 브라우저로 위장하려는 의도로 해석된다. 지니언스는 이 이름에 ‘Narwhal(일각고래)’을 결합한 문자 재배열을 적용해 해당 악성코드를 ‘NarwhalRAT’으로 명명했다.내부 코드에는 카카오톡 관련 창을 정보 수집 대상에서 별도로 처리하는 로직도 포함돼 있었다. 보조 창을 걸러내 수집 데이터의 정확도를 높이려는 방식으로 한국 사용자 환경을 고려해 개발됐을 가능성을 보여준다.나왈랫은 공격자의 원격 명령에 따라 다양한 기능을 선택적으로 실행할 수 있다. △키보드 입력 기록 △화면 캡처 △마이크 녹음 △USB 저장장치 파일 수집 △원격 명령 실행 등 30종 이상의 기능을 갖춘 것으로 분석됐다.이를 통해 피해자 PC에서 어떤 프로그램을 사용하고 어떤 서비스에 접속하는지를 화면과 키 입력을 통해 파악할 수 있는 구조다.수집된 데이터는 곧바로 외부로 전송되지 않고 작업 디렉터리에 임시 저장된 뒤 한꺼번에 전송된다. 이는 실시간 네트워크 탐지를 피하기 위한 방식으로 풀이된다.지니언스는 이번 공격이 지난해 5월 공개된 북한 연계 해킹조직 APT37의 파이썬 기반 백도어 공격 사례와 구조·수법 면에서 높은 유사성을 보인다고 분석했다.스피어피싱에 쓰인 미끼 문서의 최종 저장자명이 ‘Lailey’로 동일하고 악성 바로가기 파일 구조와 배치파일 난독화 방식, 작업 스케줄러 기반 지속성 확보 방식 등도 상당 부분 일치했다는 설명이다.지니언스는 “향후 유사한 변종 형태로 지속 활용될 가능성이 있는 만큼 파일 기반 탐지와 함께 행위 기반 탐지 체계를 강화해야 한다”고 권고했다.점점 발전하는 짝퉁 사기 수법, 로고만 박는 게 아니라 ‘공식 사이트’를 복제한다?