"북한 연계 해커, 가상자산 채용 미끼로 악성코드 유포"

본문

북한 연계 해커들이 가상자산(디지털자산) 분야 채용을 미끼로 구직자에게 접근한 뒤, 비공개 코드 저장소를 통해 악성코드를 설치하도록 유도하고 있다는 보안 연구진의 북한 연계 해커들이 가상자산(디지털자산) 분야 채용을 미끼로 구직자에게 접근한 뒤, 비공개 코드 저장소를 통해 악성코드를 설치하도록 유도하고 있다는 보안 연구진의 분석이 나왔다. 21일(현지시각) 보안 위협정보 플랫폼 오픈소스멀웨어(OpenSourceMalware)는 자체 방송 ‘더 오픈소스멀웨어 쇼’ 26회에서 북한 연계 공격 활동인 ‘컨테이저스 인터뷰(Contagious Interview)’에 이 같은 수법이 나타났다고 설명했다. 컨테이저스 인터뷰는 채용 담당자 등을 사칭해 구직자에게 접근하고, 면접이나 개발 과제를 진행하는 과정에서 악성코드를 실행하도록 유도하는 공격이다.

오픈소스멀웨어 공동창업자 폴 매카티(Paul McCarty)는 북한 연계 공격자들이 여전히 링크드인에서 디지털자산 관련 일자리를 제안하는 방식으로 표적에게 접근하고 있다고 밝혔다.

이후 구직자를 비공개 코드 저장소로 초대하고, 그 안에서 개발용 프로그램 묶음인 ‘패키지’를 설치하도록 유도한다는 설명이다. 자바스크립트 개발에 쓰이는 패키지 관리 도구 '엔피엠(npm)'은 필요한 프로그램을 저장소에서 내려받아 설치한다. 공격자는 비공개 코드 저장소에 ‘'npmrc'라는 설정 파일을 넣어, 공개 저장소 대신 다른 저장소에서 특정 패키지를 가져오도록 한다. 구직자가 이 설정이 적용된 환경에서 설치 명령을 실행하면 외부 저장소에 숨겨둔 악성코드를 받아 실행할 수 있다. 매카티는 방송 시점을 기준으로 몇 주 전부터 이러한 변화를 관찰했다고 설명했다. 다만 구체적인 피해자 수, 피해 기업, 실제 탈취된 디지털자산의 규모나 피해 지갑은 제시되지 않았다. 북한 연계 해커들이 가상자산(디지털자산) 분야 채용을 미끼로 구직자에게 접근한 뒤, 비공개 코드 저장소를 통해 악성코드를 설치하도록 유도하고 있다는 보안 연구진의 분석이 나왔다.