[이코노믹데일리] 북한 연계 해킹 조직 '코니(Konni)'가 국내외 양대 포털인 네이버와 구글의 광고 시스템을 악용해 악성코드를 유포하는 지능형 사이버 공격, 일명 '포세이돈 작전(Poseidon Operation)'을 전개하고 있어 각별한 주의가 요구된다.
19일 보안 기업 지니언스 시큐리티 센터(GSC)는 위협 인텔리전스 분석 보고서를 통해 코니 조직이 최근 포털 광고 시스템의 '클릭 추적 경로'를 악용한 지능형 지속 위협(APT) 공격을 감행하고 있다고 밝혔다.
해커들이 파고든 허점은 사용자가 광고를 클릭할 때 거치는 중간 URL인 '리다이렉션' 과정이다. 정상적인 광고 시스템 구조를 그대로 모방해 사용자를 악성 서버로 유도하는 수법이다. 보안 시스템이나 AI 탐지 도구가 해당 링크를 검사하더라도 네이버나 구글의 정상 도메인으로 인식하기 때문에 사실상 차단이 어렵다는 점을 노렸다.
지니언스 측은 "과거에는 네이버 광고 경로 악용이 주를 이뤘으나 최근에는 구글 인프라까지 공격 범위가 확대됐다"며 "정상 트래픽 사이에 악성 코드를 은폐하는 것이 코니 조직의 대표적인 침투 전술로 자리 잡았다"고 분석했다.
공격의 시발점은 금융기관이나 북한 인권 단체를 사칭한 이메일이다. '금융거래 확인'이나 '소명자료 제출' 등 직장인이라면 열어볼 수밖에 없는 제목으로 접근해 첨부된 링크 클릭을 유도한다. 링크를 누르면 PDF 문서 아이콘으로 위장한 윈도우 바로가기(LNK) 파일이 포함된 압축 파일이 다운로드된다. 이를 실행하는 순간 오토잇(AutoIt) 기반 악성 스크립트가 작동해 사용자 PC에 원격제어 악성코드가 심어진다.
지니언스 분석팀은 악성 파일 내부 코드에서 'Poseidon-Attack'이라는 문자열을 발견, 해커 조직이 이번 공격을 체계적인 프로젝트로 관리해 온 것으로 판단했다. 공격 대상은 자료 검색이 잦은 연구·기획직과 공공기관 및 기업 종사자들로 특정돼 위험성이 더욱 크다.
지니언스 관계자는 "정상 광고 도메인을 일괄 차단하는 것은 불가능해 기존 보안 체계로는 방어에 한계가 있다"며 "파일 실행 후 단말 내부의 이상 행위를 실시간 탐지하는 EDR(엔드포인트 탐지·대응) 솔루션 도입이 필수적"이라고 강조했다. 아울러 "이메일에 첨부된 압축파일, 특히 바로가기(LNK) 파일은 절대 실행해서는 안 된다"고 당부했다.
Copyright © 이코노믹데일리, 무단전재·재배포 금지
