“북한 해킹조직, 정보·자금 탈취 사이버 범죄조직과 공조 정황”

북한 해킹조직 라자루스가 기밀정보와 자금 탈취 등을 위해 러시아 등 동유럽 사이버 범죄조직과 협력해온 정황이 포착됐다는 주장이 제기됐습니다. 일반 사이버범죄와 국가 주도 사이버범죄 사이의 경계가 모호해지고 있다는 방증이라는 지적입니다. 조상진 기자가 보도합니다.

미국의 정보기술 보안업체 ‘센티넬원’은 11일 발표한 보고서에서 북한 정권의 후원을 받는 것으로 추정되는 해킹조직 라자루스가 ‘트릭봇’(TrickBot)이라고 불리는 악성코드를 운용하는 사이버 범죄조직을 통해 해킹 피해자의 계정에 접근한 정황을 포착했다고 밝혔습니다.

보고서는 트릭봇이 이메일 등에 첨부된 파일을 여는 동시에 악성코드를 퍼트려 기기를 감염시키기 때문에 대규모 확산이 특징이라며, 역사상 가장 위험한 악성코드 중 하나라고 지적했습니다.

그러면서, 라자루스가 러시아 등 동유럽 사이버 범죄조직이 트릭봇을 이용해 얻은 정보와 네트워크에 대한 접근권을 임대하는 형식으로 협력하고 있다고 밝혔습니다.

보고서는 라자루스와 트릭봇 운영자들이 공조해온 것으로 의심되는 구체적 사례를 공개했습니다.

올해 초 라자루스가 통제하는 서버가 칠레의 은행 간 네트워크 침투에 이용됐는데, 침투 직전 트릭봇 운영자들이 이 서버와 교신한 것을 확인했다고 밝혔습니다.

또 지난 4월과 7월에는 영국의 방산업체인 배 시스템과 일본 통신회사 NTT사가 각각 사이버 범죄조직이 해킹에 노출된 기관에 대한 접근권을 라자루스에 판매한 정황을 포착해 조사에 착수한 사실을 전했습니다.

보고서를 발표한 사이버범죄 전문가 비탈리 크레메즈 센티넬랩스 수석연구원은 VOA에, 사이버 범죄조직이 사실상 북한 해킹조직의 악성코드 공급처 역할을 하고 있다고 말했습니다.

[녹취: 크레메즈 연구원] “Lazarus outsourced or used in some capacity. So it's almost like a Russian organized criminal group is working with the state sponsored group called Lazarus, to do orchestrate to money…”

트릭봇 사업자들이 라자루스에 악성 프로그램 서비스를 빌려주거나 수수료를 받고 일하고 있으며, 북한은 자신들의 범죄 행위를 숨기거나 위장하기 위해 외부 하청업체를 고용하는 것과 비슷한 방식을 취하고 있다는 것입니다.

그러면서, 라자루스가 트릭봇 운영자들과 협력하려는 이유는 자금 탈취 목적이라고 설명했습니다.

[녹취: 크레메즈 연구원] “Actually the groups we track, they're financially motivated. They try to pursue to the money by different means credit card fraud. Banks online fraud wire transfer fraud, and many, many other means…”

‘트릭봇’은 컴퓨터에 침입해 정보를 탈취하거나 운영체제를 파괴하는 악성 소프트웨어 연결망으로, 주로 신용카드나 인터넷 뱅킹 등 금전 갈취 목적으로 활용되는 악성코드의 일종이라는 겁니다.

크레메즈 연구원은 라자루스가 가장 정교하고 자원이 풍부한 러시아의 트릭봇 운영조직과 깊은 연관이 있다고 주장했습니다.

또 이번 보고서 발표는 민간 사이버 범죄조직과 국가 주도 해킹조직 사이의 직접적인 연관관계를 처음으로 보여준다는 점에서 의미가 크다고 강조했습니다.

크레메즈 연구원은 이번 사례는 라자루스 같은 정부 주도 해킹조직이 자체 해킹 도구를 개발하는 대신 민간 기술을 활용하는 방식으로 진화할 수 있다는 것을 보여준 것이라며, 일반 사이버범죄와 국가 주도 사이버범죄 사이의 경계가 모호해지고 있다고 밝혔습니다.

VOA 뉴스 조상진 입니다.