이스트시큐리티 시큐리티대응센터(ESRC) 분석에 따르면 새롭게 발견된 PDF 파일 취약점 공격은 지난 5월부터 현재까지 국내 외교, 안보, 국방, 통일 분야 전·현직 종사자 등을 대상으로 해킹 공격에 사용된 것으로 확인됐다.
위협 배후로는 북한 연계 해킹 조직으로 알려진 ‘탈륨’을 지목했다. 탈륨 조직은 최근까지 마이크로소프트(MS) 워드 문서파일의 매크로 기능을 악용한 감염 기법을 주로 활용했으나, 최근에는 PDF 취약점을 활용하는 기법 변화를 시도한 것으로 추정된다.
탈륨 조직은 최근까지 국내 전·현직 장차관급 정부 인사 등을 상대로 계속해서 해킹 공격을 시도해왔고, 지난 한미 정상회담 기간에도 외교·안보·통일 및 대북 분야 전문가를 상대로 워드 문서를 악용한 방식의 해킹 공격을 시도한 것으로 확인됐다.
ESRC는 이번 공격에 활용된 악성 PDF 파일도 공개했다. 이메일에 첨부된 악성 PDF 파일은 국내 특정 사단법인이 주관하는 ‘평화 경제 최고경영자 과정’ 안내 자료를 사칭했다.
메일 수신자가 문서를 열어보면 PDF 파일 내부에 은닉된 스크립트 코드가 작동돼 분리된 코드 단위로 은밀하게 숨겨져 있는 악성 페이로드 파일을 호출한다. 명령제어(C2) 서버와 통신을 시도해 공격자가 지정한 명령을 순서대로 수행하며, 조건에 따라 추가 악성파일을 설치해 민감한 개인 정보를 탈취하거나 원격제어 등을 시도할 수도 있다.
문종현 ESRC센터장은 “페이크 스트라이크로 분류된 이번 탈륨 조직의 APT 공격 캠페인은 국내 전·현직 장차관급 유력인사와 함께 대북 연구 분야 고위 관계자를 집중적으로 노리고 있다”며 “기존에 유행했던 DOC 악성 문서 형태와 더불어 PDF 취약점을 활용한 공격도 가세하고 있어 PDF 파일을 이메일로 전달받을 경우 세심한 주의와 대비가 요구된다”고 당부했다.
한편 이스트시큐리티는 새롭게 발견된 악성 파일을 백신 프로그램 알약에서 탐지할 수 있도록 긴급 업데이트를 완료했다. 이어 피해 확산 방지를 위한 대응 조치를 관련 부처와 긴밀하게 진행하고 있다.