“북한에 전부 털렸다?” 북한, 한국 네이버의 ‘이것’ 이용해 사이버 공격! 충격적
구글 검색 선호 출처로 추가
Google 검색에서 뷰어스 기사를 더 자주 볼 수 있습니다.
북한 연계 해킹 조직 ‘코니’, 광고 플랫폼 악용 APT 공격
북한과 연계된 해킹 조직 ‘코니(Konni)’가 네이버·구글 광고 시스템을 악용한 정교한 사이버 공격을 전개하고 있어 국내외 보안 업계가 긴장하고 있다. 이들은 정상적인 광고 트래픽처럼 보이는 클릭 흐름을 악용해 사용자를 악성 인프라로 유도하는 수법을 활용, 기존 보안 체계를 무력화하는 고도화된 APT(지능형 지속 위협) 공격을 벌이고 있다. 공격 캠페인은 ‘포세이돈 작전(Poseidon Attack)’이라는 이름으로 지니언스 시큐리티 센터가 조사·분석했다.
코니 조직의 공격은 단순한 피싱이나 스크립트 유포 수준을 넘어, 정상 도메인으로 가장된 네트워크 트래픽을 생성해 보안 솔루션의 의심을 회피한다. 이처럼 정교한 구조는 보안 탐지 기술을 가진 시스템에서도 악성 유입을 식별하기 어렵게 하는 특징을 갖는다. 보안 관계자들은 “이번 공격은 단순 사이버 범죄를 넘어 국가 배후의 정교한 캠페인 가능성을 시사한다”고 분석했다.
광고 클릭 추적 경로를 악용한 ‘정상 도메인’ 위장
코니 조직의 핵심 기법은 클릭 추적 URL을 모방하는 데 있다. 광고 클릭 추적은 사용자가 광고를 누를 때 광고주 사이트로 가기 전 거치는 일련의 링크 경로를 의미한다. 코니는 이를 그대로 악용한 뒤, 사용자를 악성 서버로 리디렉션한다. 정상적인 광고 시스템의 구조를 이용하기 때문에 보안 솔루션은 정상 도메인 통신으로 오인해 차단하지 못하는 경우가 빈번하다.
추적된 악성 서버 중 일부는 워드프레스로 구축된 웹사이트로 확인됐다. 코니는 이런 서버를 방어 기관이 차단하면 즉시 다른 서버로 전환하는 전략을 구사해 추적을 어렵게 만드는 회피 기법을 추가했다. 이러한 측면은 단순히 공격 도구를 유포하는 수준을 넘어 운영 인프라 전체의 유연성과 지속성을 확보한 공격이라는 평가로 이어지고 있다.
사칭 이메일과 LNK 파일로 시스템 장악
공격의 출발점은 정교하게 사칭된 이메일이다. 코니 조직은 대형 금융기관이나 국제 인권 단체, 또는 업무 관련 기관으로 위장해 “금융거래 확인”이나 “소명자료 제출” 등을 요구하는 이메일을 발송한다. 사용자에게 신뢰를 유도한 뒤 포함된 링크를 클릭하도록 유도하는 것이 첫 단계다.
사용자가 링크를 클릭하면 압축파일(.zip)이 다운로드되며, 내부에는 PDF 아이콘을 가진 바로가기(LNK) 악성 파일이 숨어 있다. 이 파일을 실행할 경우 스크립트가 즉시 작동하고 원격제어 악성코드가 설치돼 사용자의 시스템 전체가 침해된다. 지니언스 분석팀은 악성 코드 내부에서 ‘Poseidon‑Attack’이라는 문자열을 발견해, 공격이 체계적으로 준비된 캠페인임을 확인했다.
전통적 보안 솔루션으로는 탐지·차단 한계
이 같은 공격은 기존의 시그니처(식별 정보) 기반 보안 솔루션으로는 막기 매우 어렵다. 대부분의 안티바이러스와 방화벽, URL 필터링 툴은 악성 도메인이나 알려진 해킹 코드 패턴을 탐지한다. 그러나 코니는 정상 광고 도메인과 광고 추적 경로를 그대로 활용해 공격 흐름을 위장하기 때문에, 기존 보안 체계는 정상 트래픽으로 판정하는 오류를 낳는다.
보안 전문가들은 “정상 광고 플랫폼이 악용되면 기존 보안 장비는 이를 위협으로 분류할 근거를 찾기 어렵다”며, “이번 공격은 보안 체계의 구조적 전환이 필요함을 극명하게 보여준다”고 평가했다. 탐지 회피와 인프라 전환 능력, 정교한 사회공학 기법이 결합된 공격은 단순 방어 체계로는 대응이 어렵다는 지적이 나온다.
EDR 도입과 사용자 보안 인식 강화 필요
전문가들은 행위 기반 탐지 체계인 EDR(Endpoint Detection and Response) 솔루션의 도입을 강력히 권고한다. EDR은 단순히 파일 서명 정보가 아닌 프로세스의 이상 행동, 비정상 시스템 접근, 외부 통신 패턴 등을 실시간으로 분석한다. 이를 통해 알려지지 않은 공격 시나리오까지 탐지 가능하며, 악성 프로세스 실행 이후에도 실시간 격리와 대응이 가능하다.
지니언스 관계자는 “이메일에 첨부된 압축파일이나 LNK 파일은 절대 실행해서는 안 된다”고 경고하며, “EDR 솔루션과 함께 사용자 보안 인식 제고 교육이 필수적”이라고 강조했다. 단순 기술적 보완뿐 아니라, 직원·개인 사용자의 보안 습관 개선이 코니와 같은 APT 공격에 대응하는 중요한 방패가 된다는 것이다.
댓글0