北 라자루스, 국내 학회·언론사 웹사이트까지 해킹 거점으로 작성일 11-01 21 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">카스퍼스키, 국내 웹사이트 주소 등 다수 침해지표로 포함<br>가짜 이력서로 공격…사이트별 침해 범위·정보 유출 미확인</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="zth8T1jJ1Y"> <figure class="figure_frm origin_fig" contents-hash="ece57e052883de79236757c919417e537b45a5de427d4eed4e9a4487fa7b85f2" dmcf-pid="qFl6ytAi5W" dmcf-ptype="figure"> <p class="link_figure"><img alt="C2 서버 침해지표 (카스퍼스키 보고서 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/01/NEWS1/20261101103222336pgwl.jpg" data-org-width="918" dmcf-mid="urqw9xXStH" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/01/NEWS1/20261101103222336pgwl.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> C2 서버 침해지표 (카스퍼스키 보고서 갈무리) </figcaption> </figure> <p contents-hash="509212c195bb8452a580f7ed5bf2b8133def0bb0834ef3c57825d624abb4e378" dmcf-pid="B3SPWFcnGy" dmcf-ptype="general">(서울=뉴스1) 유수연 기자 = 북한 연계 해킹조직 라자루스가 국내 학회와 언론사 등의 웹사이트를 사이버 공격을 위한 통신 거점으로 활용한 정황이 포착됐다.</p> <p contents-hash="92031afd2dac82464332658a409de1570fd842139016bf9ef31396f4ba24ec70" dmcf-pid="b0vQY3kLHT" dmcf-ptype="general">정상적인 웹사이트를 악성코드의 명령제어(C2) 서버로 악용해 공격자의 지시를 전달한 것이다.</p> <h3 contents-hash="43ea56ba650ae8eb532fdfbd5b16e3b99b5839da0c3b63381121b3e927ab4c19" dmcf-pid="KpTxG0EoGv" dmcf-ptype="h3">산부인과학회·언론사 웹주소, 악성코드 통신 서버 목록에</h3> <p contents-hash="327921a4b41fc74d7ab5fa431865f1bf8fd8130338c94fa62b4f45730d893837" dmcf-pid="9UyMHpDg5S" dmcf-ptype="general">1일 글로벌 보안업체 카스퍼스키가 최근 공개한 '오퍼레이션 플래시홀(Operation FlashHole)' 보고서에 따르면 대한산부인과학회 홈페이지를 비롯한 국내 여러 웹사이트 주소가 라자루스 악성코드의 침해지표(IoC)에 포함됐다.</p> <p contents-hash="7a5cd48c3bb86d7794f85bc8fd6ee13d16a56ce5c4b05fa2badda91670797229" dmcf-pid="2uWRXUwaHl" dmcf-ptype="general">침해지표는 공격자가 시스템을 침해했거나 악성코드에 감염된 것을 보여주는 기술적 단서다.</p> <p contents-hash="d59b54106fd266e143fd983557973b5d12f91f5631c3c230ababb98cefb445a2" dmcf-pid="V7YeZurN5h" dmcf-ptype="general">보고서에는 대한산부인과학회 홈페이지인 'ksog.org'의 하위 주소가 악성코드 '클라이언트허브(ClientHub)'의 C2 서버로 명시됐다.</p> <p contents-hash="557b156a789a5c8d230a906851bafdc16a514989d1fda57f3a59f2d7114a0936" dmcf-pid="fCa0cIPKZC" dmcf-ptype="general">국내 언론사와 인테리어 업체 등의 웹사이트도 악성코드 '큐브리지(Cubridge)'의 C2 서버 목록에 포함됐다.</p> <p contents-hash="45241fa422042228f0f91f56fb7855c167e15512b4a5e1475e516ca0f6c0d2b1" dmcf-pid="4hNpkCQ95I" dmcf-ptype="general">카스퍼스키는 라자루스가 초기에는 국내 언론사와 인테리어 업체의 정상적인 웹사이트를 통신 거점으로 활용했으며 이후 다양한 업종의 웹사이트로 범위를 넓혔다고 분석했다.</p> <p contents-hash="ef1a94007b506e39ab0c2ab4d9c10f27bec9d8fc33385e4526260a8f0858807c" dmcf-pid="8ljUEhx2YO" dmcf-ptype="general">다만 보고서에는 개별 웹사이트의 구체적인 침해 경위나 범위가 공개되지 않았다. 해당 사이트의 개인정보 유출 여부도 확인되지 않았다.</p> <figure class="figure_frm origin_fig" contents-hash="4c2c69b7b11d913aec432a7944b55faa6d76b934b1ff66e85e9ed04a7b7927d1" dmcf-pid="6SAuDlMVHs" dmcf-ptype="figure"> <p class="link_figure"><img alt="가짜 이력서 웹사이트에 AI 생성 인물 사진 활용 추정 (카스퍼스키 보고서 갈무리)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/01/NEWS1/20261101103223696tkrf.jpg" data-org-width="1024" dmcf-mid="7MpAz4yO5G" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/01/NEWS1/20261101103223696tkrf.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 가짜 이력서 웹사이트에 AI 생성 인물 사진 활용 추정 (카스퍼스키 보고서 갈무리) </figcaption> </figure> <h3 contents-hash="1e33a4223e50c5e8a05c492bae0f4bb8d1709c13689178af68e18c0579ba5ba8" dmcf-pid="Pvc7wSRf1m" dmcf-ptype="h3">가짜 이력서로 국내 기업 노려…크로스웹 EX 악용 가능성</h3> <p contents-hash="bcf11b3a2af67148d5f7194cb3287f31f6c89cf082ea20ce87a8d05ca5208e43" dmcf-pid="QTkzrve4Xr" dmcf-ptype="general">카스퍼스키는 이번 공격이 국내 기업을 겨냥한 사이버 첩보 활동이라고 분석했다.</p> <p contents-hash="3000375572b9fee04d0377b8968940ddabbbed349693ee280b3239b65cd00364" dmcf-pid="xyEqmTd8tw" dmcf-ptype="general">연구진이 확인한 공격 흔적은 지난해 7월까지 거슬러 올라간다. 국내 소프트웨어(SW), 건설, 유선통신장비 제조 분야에서 최소 3개 조직이 공격 대상이 된 것으로 파악됐다.</p> <p contents-hash="8d5cb38496b40a20df91d798e5334dc6f251d57134ce90b2d0b85614f22f0679" dmcf-pid="yxzDKQHltD" dmcf-ptype="general">공격자들은 표적 기업의 업무와 관련된 가짜 이력서나 포트폴리오 웹사이트를 제작하고 이메일로 접속을 유도한 것으로 추정된다.</p> <p contents-hash="00d074c010f5b86c53860db2a4a0be1715e699abbd5acd1b4fb2bcef046c7920" dmcf-pid="WMqw9xXSYE" dmcf-ptype="general">특히 가짜 이력서에 인공지능(AI)으로 생성한 것으로 추정되는 인물 사진을 활용한 정황도 발견됐다.</p> <p contents-hash="6d21b2b3e7b2bd17c46a43b1f1e1825a0b769c5e296cfa208a4f564339db63e2" dmcf-pid="Yi2I8JFY5k" dmcf-ptype="general">카스퍼스키는 국내 인터넷뱅킹과 공공기관 웹사이트에서 주로 사용하는 금융 보안 프로그램 '크로스웹 EX(CrossWeb EX)'가 악성 코드 감염 과정에 악용됐을 가능성이 크다고 분석했다.</p> <p contents-hash="e7c54a6211603de9ae2ed008050f5a641d23181456a5d4c408bf6c6b236c0c1a" dmcf-pid="GnVC6i3Gtc" dmcf-ptype="general">연구진은 크로스웹 EX의 실행 프로세스를 통해 악성코드 '테크허브(TechHub)'가 실행되고 이후 다른 악성코드들이 추가로 실행되는 경로를 확인했다.</p> <p contents-hash="b0e0acea48d97dbe3faad290d5ec92493d08b9668e518050257802510e2ffc5b" dmcf-pid="HLfhPn0HYA" dmcf-ptype="general">악성코드는 감염된 기기에서 공격자의 명령을 수행하거나 외부 서버와 통신하는 기능을 갖춘 것으로 분석됐다.</p> <p contents-hash="59665773b6c8073e71e5187edc1ee6c159432f7a2831e196727e1facf5dab8f8" dmcf-pid="Xo4lQLpXZj" dmcf-ptype="general">카스퍼스키는 "라자루스는 이전 작전이 끝난 직후 다음 공격을 준비하고 기존 도구를 개선해 한층 발전된 악성코드 감염 체계를 구축하는 것으로 나타났다"고 설명했다.</p> <p contents-hash="3de9af0202ec0ce148217999b7e1db253d1d77443af6ea36a9676974e4eb1552" dmcf-pid="Zg8SxoUZHN" dmcf-ptype="general">shushu@news1.kr </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 틸다, 산업현장 전력 비용 AI로 최적화 [서울AI허브 2027] 11-01 다음 구글 AI, 우주서 첫 시 짓고 지구로 보냈다…TPU 궤도 추론 성공 11-01 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
