김수키는 누구인가? 북한 해커 집단 김수키(Kimsuky)가 보내는 첨부파일 유형

최근 안랩은 김수키가 일반인들과 일반 기업들에게 보내는 메일과 첨부파일을 조심해야 한다고 밝혔습니다. 과연 김수키는 누구이며, 김수키가 일반인을 대상으로 보내는 메일 유형에 대해 알아보겠습니다.  

김수키는 누구인가?

김수키(Kimsuky)는 북한의 해킹조직으로 대한민국의 정부 기관과 주요 기업 그리고 일반인들의 정보를 빼내는 것이 목적인 공작부대입니다. 김수키는 2012년에 북한이 한국, 미국 등에 대한 사이버 공격을 목적으로 만들었다고 합니다.
김수키는 2014년 한수원의 원자력 연구소 원전도면 해킹 시도를 기점으로 이름을 알리게 되었으며 이 외에도 종종 기자를 사칭하여 국방과 안보, 통일, 외교 관련 전문가들에게 악성파일을 보내 악성코드를 뿌린 뒤 기밀을 탈취하는 수법을 계속해서 피해를 입히고 있습니다.

또한 국내에서 개발 중이었던 코로나19 백신에 대한 정보를 취득하기 위한 북한의 해킹 공격이 있었는데 이 공격을 주도한 집단으로 김수키로 지목되기도 했습니다. 또한 언론사 기자를 사칭하고 사칭한 언론사의 사이트를 그대로 배껴 아무런 문제없는 사이트로 가장해 피해자들을 유인해 정보를 훔치기도 했습니다. 2022년 12월 말에도 태영호 국회의원을 비롯한 국방, 외교, 통일 전문가들에게 악성코드 파일을 기자로 사칭해 보내 공격하였습니다.

 

북한 해커-출처 동아일보

 

김수키가 일반 기업에게 보내는 이메일과 첨부파일

최근 해킹 방식은 워드문서 첨부파일이 포함된 메일을 일반기업 담당자들에게 보내는 것인데 가장 최근에 사용된 파일명은 ‘[kbs 일요진단]질문지.docx’ 그리고 ‘임** 자기소개서.docx’ 또한 ‘app-planning-copy.docx’ 등입니다.

이런 파일을 내려받으면 악성 매크로가 실행되면서 cURL(Client URL) 명령어가 포함된 파일을 실행하게 되는데, 이 파일에는 추가 악성 스크립트 다운로드와 실행 코드가 들어 있어 최근 연 워드 파일 문서 목록, 시스템에 설치된 바이러스 백신 정보, 시스템 내 다운로드 폴더 경로 정보 그리고 실행 중인 프로세스 정보 등이 외부로 유출됩니다.

 

2020년도까지 김수키는 한글 파일분서를 첨부로 보냈는데, 최근에는 워드 파일을 이용한 해킹이 빈번히 시도되고 있는 것입니다. 이때까지만 하더라도 국가기관 전문인들 또는 주요 기업 전문가들에게 원고 작성을 의뢰하고 사례비 지급을 의뢰흔 첨부파일의 문서 형태가 자주 사용되었습니다.  또한 외교 관련 인사들에게 재외공간 근무 실태조사라는 파일을 보내고, 이를 열어본 사람의 PC를 해킹하는 수법도 자주 사용되었습니다. 

 

2021년도에는 PDF 첨부파일을 통한 해킹도 시도되었고 한국인터넷진흥원(KISA)의 모바일 백신으로 위장한 임시 앱 APK(Android Application Package) 파일도 유포되었는데, 해당 APK를 휴대폰에 설치하면 핸드폰의 민감한 정보를 수집해 자신들이 지정한 서버로 유출하며, 김수키가 원격으로 사용자 기기를 제어할 수 있게 되었습니다. 

 

따라서 발신자를 알 수 없는 메일의 첨부 파일은 절대 열어보지 않도록 주의하시기 바랍니다.