北 김수키에 中 섹쇼우…북한·중국 배후 해킹 단체 정체는 작성일 09-27 58 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[韓 덮친 해킹 공포]⑤'스피어 피싱' 北, 위장 메일로 서버 침투<br>감시 피해 악성코드 심는 中…"국가 네트워크 인프라 전반 위협"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="6vztlUphXr"> <p contents-hash="3cc5265dbc959424c35cb4e3ff0b53813323434b04dde6e29044519487ef23de" dmcf-pid="PTqFSuUlYw" dmcf-ptype="general"> [편집자주] 위협을 넘어 공포다. 해킹이 일상화되며 매일 사용하는 휴대폰과 신용카드 안전을 걱정해야할 처지다. 북한, 중국, 러시아발 해킹 공격은 국가기관 전체를 위협한다. 정부가 해킹과의 전쟁을 선포했지만 적을 알지 못하면 방어에 성공하기 어렵다. 해커 집단의 수법을 추적 분석하고 보안 강화를 위해 어떤 부분을 정비해야할지 다각도로 따져봐야 할 시점이다.</p> <figure class="figure_frm origin_fig" contents-hash="dc6aa42f306e96a1dc8ea09d34a41fbf913a41d410b62f5d1d692a43385fad2c" dmcf-pid="QyB3v7uSZD" dmcf-ptype="figure"> <p class="link_figure"><img alt="북한 해킹 단체 '김수키'(Kimsuky)가 대북 지원 담당자에게 발송한 해킹 메일 (안랩 대응팀 '작전명 은밀한 추적자'(Operation Covert Stalker) 보고서 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/27/NEWS1/20250927053113276imgu.jpg" data-org-width="1264" dmcf-mid="BiKpyqzTYv" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/27/NEWS1/20250927053113276imgu.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 북한 해킹 단체 '김수키'(Kimsuky)가 대북 지원 담당자에게 발송한 해킹 메일 (안랩 대응팀 '작전명 은밀한 추적자'(Operation Covert Stalker) 보고서 갈무리) </figcaption> </figure> <p contents-hash="bcda1c064a8aa379f3ef25284b3048090ac4459edad5c1c8fe009bb5d252a3d4" dmcf-pid="xWb0Tz7v1E" dmcf-ptype="general">(서울=뉴스1) 신은빈 기자 = 민간 기업을 넘어 대한민국 정부를 노리는 해킹 단체의 배후에는 북한이나 중국 등 정치·안보 문제가 민감하게 얽힌 국가가 있을 것이란 추정이 나온다.</p> <p contents-hash="a7f4abc218c62315f3e96b044116a422ce6f9d78cc3d35d1287dde3e8c31f9c4" dmcf-pid="yMrNQEkPtk" dmcf-ptype="general">이들의 주된 공격은 주요 정부 부처와 기업의 서버에 무단 침투해 악성코드를 심고 데이터를 탈취하는 수법이다. 단순한 금전 탈취를 넘어 정치적 목적이나 국가 안보 위협으로 연결될 가능성이 있다.</p> <h3 contents-hash="0121595c81fb1b40ce81d43ed769d8237dfb7de943c176c629afd562d3d7d842" dmcf-pid="WiCEdsmeGc" dmcf-ptype="h3">악성코드 담은 위장메일 발송…北 '스피어 피싱'</h3> <p contents-hash="68e058e57fc0802abaf6609c1309583cbe85f49574a7e2fe3250a346544c26d9" dmcf-pid="YnhDJOsdGA" dmcf-ptype="general">27일 정보기술(IT)과 보안 업계에 따르면 북한 해킹 단체 '김수키'(Kimsuky)는 특정 인물이나 조직을 겨냥하는 '스피어 피싱' 수법을 주로 사용하는 것으로 파악됐다.</p> <p contents-hash="fe9b7ea921b0b296a6c1a3e1f9a01cffe7b64e608f1c5bbfc51106d2b114a807" dmcf-pid="GLlwiIOJGj" dmcf-ptype="general">김수키는 북한 정찰총국이 육성하는 것으로 추정되는 국가 해킹 조직이다. 한국은 물론 미국 등 서방 국가까지 공격 대상국을 확대하면서 외교·국방 등 민감 분야의 정보를 수집하고 북한 정권에 제공한다.</p> <p contents-hash="2cf1139a12f6b779ea429e2886f46fe810ab28cc65bb1b01ce15a12cc9cd2d60" dmcf-pid="HoSrnCIi1N" dmcf-ptype="general">스피어 피싱은 정부 부처나 기업 등 특정 대상을 노리는 해킹 수법이다. 메일에 정상 인터넷 주소(URL)로 위장한 사이트나 한글·마이크로소프트(MS) 오피스 문서 파일·윈도 파워쉘(PowerShell) 등 다양한 유형의 악성코드를 첨부해 해킹 대상에게 발송해 피싱 사이트 접속을 유도하고 정보를 탈취한다.</p> <p contents-hash="eee194bcf2f3b9d8a700ea21be987488ce2ecc450139f2d9163d3e474f0ffe6c" dmcf-pid="XgvmLhCnZa" dmcf-ptype="general">글로벌 해킹 전문지 '프랙 매거진'에 게재된 북한의 해킹 동향 분석 보고서 'APT Down–The North Korea Files'에서는 김수키로 추정되는 공격자가 정부 통합 전자문서 시스템 '온나라' 서버에 침투해 공무원 행정전자서명(GPKI) 검증 로그를 탈취했다고 진단했다.</p> <p contents-hash="8a741613f7e077251f5d56d3a312d20b3680caf60cf43166e9304a3c7d246b05" dmcf-pid="ZaTsolhL1g" dmcf-ptype="general">보고서에 따르면 Go 언어(프로그래밍 언어의 일종)로 작성된 악성코드 '트롤 스틸러'(Troll Stealer)가 감염된 기기에 저장된 GPKI 인증서와 키를 훔칠 수 있으며, 공격자는 워크스테이션에 트롤 스틸러가 포함된 파일을 수천 개 보유하고 있었다.</p> <p contents-hash="030378417107f667f50521e2f68b8845ea32cbbde9ce559f76d9f60a9f7f7b2c" dmcf-pid="5NyOgSloGo" dmcf-ptype="general">트롤 스틸러는 국내 특정 웹사이트에 접속할 때 실행되는 보안 프로그램 다운로드 페이지를 통해 유포됐으며, 보안 프로그램 설치 파일 'TrustPKI'와 'NX_PRNMAN'으로 위장해 서버에 침투한 것으로 확인됐다.</p> <figure class="figure_frm origin_fig" contents-hash="a31375213c5ed47f9228989613e541e6a444ba430bfc3a0a88f3c8c0bb45a811" dmcf-pid="1jWIavSg1L" dmcf-ptype="figure"> <p class="link_figure"><img alt="국내 특정 웹사이트에 접속할 때 실행되는 보안 프로그램 다운로드 페이지 예시 (S2W 블로그 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/27/NEWS1/20250927053114605iotu.jpg" data-org-width="1059" dmcf-mid="KdYCNTva5l" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/27/NEWS1/20250927053114605iotu.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 국내 특정 웹사이트에 접속할 때 실행되는 보안 프로그램 다운로드 페이지 예시 (S2W 블로그 갈무리) </figcaption> </figure> <p contents-hash="6408a89233f449de8bc3056efbacf7a4b4c2fd5aaaf7add3d71b315ec4e727f9" dmcf-pid="tAYCNTvaGn" dmcf-ptype="general">지난해 미국 보안 기업 지스케일러(Zscaler)는 김수키가 개발한 새로운 구글 크롬 확장 프로그램 'Translatext'를 발견했다. 이 확장 프로그램은 네이버, 카카오, 구글의 지메일 등 국내 이용자가 많은 이메일 서비스 제공 업체의 보안 조치를 우회해 정보를 훔칠 수 있다.</p> <p contents-hash="14bcd94022ed45733d2b738a1e315f72a62c7d29365d3ecfb3d5a4b44c1093fe" dmcf-pid="FcGhjyTNHi" dmcf-ptype="general">포털 로그인 페이지에 진입한 다음 피싱 사이트를 띄우고 이용자가 계정정보를 입력하면 탈취하는 식이다.</p> <p contents-hash="5d0b56e11dc49d0411d9e54eed83f91e41aab46300b758eca7ccaa27fe03a30f" dmcf-pid="3kHlAWyjXJ" dmcf-ptype="general">지스케일러는 김수키가 이 프로그램을 지난해 3월 7일 개발자 플랫폼 '깃허브'(GitHub) 계정에 올린 뒤 다음 날 삭제했다고도 지적했다. 업체는 "김수키가 노출을 최소화하고 특정 개인을 표적으로 삼아 단기간 악성코드를 이용하려 했음을 보여준다"고 분석했다.</p> <figure class="figure_frm origin_fig" contents-hash="cb703728909c4e8802a35d6746fa89bfd2f3e8a4c5c61cf1ef8336703fcccedb" dmcf-pid="09gRbniBHd" dmcf-ptype="figure"> <p class="link_figure"><img alt="중국 해킹 단체 '섹쇼우'(SecShow)의 도메인 이름 시스템(DNS) 정찰 예시 (인포블록스 보고서 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/27/NEWS1/20250927053115931pkyu.jpg" data-org-width="1400" dmcf-mid="89GhjyTNXm" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/27/NEWS1/20250927053115931pkyu.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 중국 해킹 단체 '섹쇼우'(SecShow)의 도메인 이름 시스템(DNS) 정찰 예시 (인포블록스 보고서 갈무리) </figcaption> </figure> <h3 contents-hash="9346f20a0e742d7be645154a8cda1b9cb92e8fd0ec8867f5497bf96c9f2a40e1" dmcf-pid="p2aeKLnb1e" dmcf-ptype="h3">도메인 정찰·방화벽 우회…감시 피하는 中</h3> <p contents-hash="52ec1df183bed3262aac851939539423bc7bf2477adefbd9a1653efdeaba2efa" dmcf-pid="UVNd9oLKHR" dmcf-ptype="general">중국 해킹 단체 섹쇼우(SecShow)는 도메인 이름 시스템(DNS)을 정찰하며 디도스(DDoS) 공격에 적합한 환경을 구축하는 정황이 발견됐다.</p> <p contents-hash="6b33a5ddaa2a3df192038d69509372303c04c2fda7d2b9d57256257769b1c426" dmcf-pid="ufjJ2go9YM" dmcf-ptype="general">섹쇼우는 중국에 근거지를 둔 해킹 조직이다. 중국 정부의 교육·연구 네트워크와 연계돼 전 세계 사이버 보안 데이터를 수집하는 것으로 추정된다. </p> <p contents-hash="6cc820329ea601dbd73546c2209e3aa7476564a0e9227eccfbc79f0ef15238ad" dmcf-pid="74AiVag2Hx" dmcf-ptype="general">DNS는 숫자의 연속인 인터넷 프로토콜(IP) 주소 대신 쉬운 도메인 이름을 사용해 웹사이트에 접속하는 시스템이다. 섹쇼우는 중국교육과학연구전산망(CERNET)에서 활동하며 전 세계의 DNS를 탐색하는 것으로 확인됐다.</p> <p contents-hash="2f9581613e12f3c9a3581fb95874029e48a2846e77d35940cbcf6702562c55af" dmcf-pid="z8cnfNaV1Q" dmcf-ptype="general">미국 보안 설루션 기업 인포블록스는 보고서를 통해 "섹쇼우 작전의 최종 목표는 알려지지 않았지만 수집된 정보는 악의적인 활동에 이용될 수 있으며 공격자의 이익을 위해서만 쓰인다"고 분석했다.</p> <p contents-hash="a9330b0cc7293745fae2ff39ce9d8cd8cb2fd866dd16252a7db96839c8bedad8" dmcf-pid="q6kL4jNfXP" dmcf-ptype="general">중국계 해킹 단체는 눈에 띄지 않는 방식으로 작동하는 'BPF도어' 계열 악성코드를 사용하는 것으로도 널리 알려져 있다.</p> <p contents-hash="ceab69b1d3fb5c481625a22cbf482bfcf51906695c6777a02e9d87f13cfa2d55" dmcf-pid="BPEo8Aj4t6" dmcf-ptype="general">BPF도어는 '버클리 패킷 필터'(Berkeley Packet Filter·BPF)를 악용하는 리눅스 기반 백도어 악성코드로 보안 설루션의 눈을 피해 서버 데이터를 몰래 탈취할 수 있다. 4월 발생한 SK텔레콤 해킹 사태 때도 가입자 인증 서버(HSS)를 침해한 것으로 확인됐다.</p> <p contents-hash="40a92a4552e9c35a34b72ac9cd47f223a0dac3b0780b6c2e33c3c1491466cbb3" dmcf-pid="bQDg6cA858" dmcf-ptype="general">bean@news1.kr<br><br><strong><용어설명></strong><br><br>■ 디도스(DDoS)<br>분산 서비스 거부(Distributed Denial of Service). 여러 개의 장치를 이용해 컴퓨터 서버나 네트워크 장비가 처리할 수 없을 정도의 과도한 트래픽을 발생시켜 정상적인 데이터 전송에 장애를 일으키는 해킹 공격의 일종.<br><br>■ 김수키<br>북한 정찰총국 산하의 해킹 조직. 외교·안보·국방 등 분야의 개인과 기관으로부터 첩보를 수집하고 기술을 탈취해 북한 정권에 제공하는 것으로 알려졌다.<br><br>■ 섹쇼우<br>중국 기반의 사이버 해킹 단체. 전 세계 도메인 네임 시스템(DNS) 정찰 활동을 벌인 것으로 알려졌으며, 보안 기업 '인포블록스'의 분석에 따르면 중국 정부가 지원하는 '중국교육과학연구전산망'(CERNET)과 연계된 조직으로 추정된다.<br><br> </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 이미주 김희철 “양쪽 다 정신적 바람” 윤종신 ‘좋니’ 답가에 불만(힛트쏭)[결정적장면] 09-27 다음 박나래 "2년 만에 용기"…전현무x기안84와 조부모님 유품 정리 [RE:TV] 09-27 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
