【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스]한글문서 열었더니 감염…북한 해킹 ‘아르테미스 작전’ 포착

온카뱅크관리자

2025-12-22 11:57:30

<div id="layerTranslateNotice" style="display:none;"></div> 교수·방송작가 사칭한 표적 피싱…논평이나 행사 관련 문서로 위조 문서 내부 삽입된 OLE 개체를 하이퍼링크로 위장…사용자 실행 유도 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="3J1lcoJ6SE">
 <figure class="figure_frm origin_fig" contents-hash="045c04d79ed84060a71b43f7d7329b538822f4e5dac423227fac343306c46f04" dmcf-pid="0itSkgiPTk" dmcf-ptype="figure">
 <img alt="공격 시나리오. 지니언스 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202512/22/kyeonggi/20251222115606717hinq.jpg" data-org-width="600" dmcf-mid="Fflce6V7SD" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202512/22/kyeonggi/20251222115606717hinq.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 공격 시나리오. 지니언스 제공
 </figcaption>
 </figure>
 북한과 연계된 것으로 전해진 해킹 그룹 APT37이 한글(HWP) 문서 내부에 악성 파일을 삽입하는 ‘아르테미스 작전’을 수행한 정황이 포착됐다. 
 국내 보안업체 지니언스 시큐리티센터는 APT37 그룹이 수행한 아르테미스 작전을 식별했다고 22일 밝혔다. 
 앞서 10월 미국의 북한 전문 매체인 38노스는 한글 문서가 북한의 사이버 공격 그룹의 주요 공격 대상으로 자리 잡았다고 보도한 바 있다. 
 APT37은 공격 전개 과정에서 초기 침투의 경우 타인을 사칭하는 스피어 피싱이 활용했다. 스피어 피싱은 전달된 한글 문서를 매개로 이뤄졌고, 문서에 내장된 악성 OLE 개체가 실행되면서 사용자 환경에 대한 접근 권한을 확보했다. 
 이후 스테가노그래피와 DLL 사이드 로딩 등 복합 기법을 활용해 실행 흐름을 은폐하고 보안프로그램의 탐지를 회피했다. 스테가노그래피는 JPEG 이미지 내부에 RoKRAT 악성 파일을 숨겨 전달하는 암호화 기법을 뜻한다. 
 APT37그룹은 7월부터 스테가노그래피 기법을 이용해 RoKRAT 모듈을 은밀하게 적재해온 것으로 확인됐다. 특히 지니언스는 8월부터는 이전까지 보고된 적 없는 인물 사진을 공격에 활용했다고 전했다. 
 DLL 로딩의 경우 마이크로소프트 시스템 관리 도구 모음의 시스템 유틸리티가 악용됐다. 실행 파일과 동일한 경로에 조작된 악성 DLL을 배치해 프로그램이 이를 정상 DLL로 오인해 로드하도록 유도했다. 
 이후 APT37그룹은 8∼11월 4개월간 연속적으로 해킹 공격을 고도화했다. 또 8월 말 국회 국제회의 토론자 초청 요청서로 가장한 이메일을 발송하며 사회적 신뢰도가 높은 특정 대학교수의 신원을 사칭했다. 
 해당 이메일에는 ‘북한의민간인납치문제해결을위한국제협력방안(국제세미나).hwpx’ 파일이 첨부됐으며, 수신자의 관심 분야를 고려한 표적형 기만전술이 사용됐다. 
 이와 비슷하게 APT37그룹은 국내 주요 방송사 프로그램의 작가를 사칭해 북한 체제와 인권 관련된 인터뷰를 요청하고 여러 차례 신뢰 형성 대화를 진행한 뒤 악성 한글 문서를 전달한 사례도 존재했다. 서로 다른 방송 프로그램에 소속된 두 명의 작가 이름이 도용됐으며, 이는 피해자에게 사회공학적 신뢰를 유도한 것으로 해석된다. 
 이 외에도 특정 논평이나 행사 관련 문서를 위조한 사칭 공격 역시 다수 확인됐다. 이처럼 한글 문서를 활용한 공격은 문서 내부에 삽입된 OLE 개체를 하이퍼링크로 위장해 사용자가 직접 실행하도록 유도하도록 한다. 
 특히 방송사 작가를 사칭한 사례의 경우 초기 접촉 단계에서는 악성링크나 첨부파일을 사용하지 않고 자연스러운 대화로 신뢰를 만들고, 이후 회신을 통해 반응을 보인 상대에게만 추가로 인터뷰 요청서를 위장한 악성파일을 전한다. 
 지니언스는 “방송사 작가 명의를 활용한 공격 시나리오는 2023년 6월 초부터 활동이 포착됐다”며 “당시에는 북한이탈주민 초빙강의.zip 이름의 악성 압축파일이 유포됐다”고 말했다. 
 이어 “APT37과 같이 전략적 목적을 기반으로 활동하는 위협 행위자는 탐지되지 않은 침해 시도, 끈질긴 APT 공격, 초기 정찰 활동 등 은밀하게 수행된 작전이 상당수 존재할 가능성이 높다”고 설명했다. 
 서다희 인턴기자 happiness@kyeonggi.com 
 </section> 
 </div> 
 Copyright © 경기일보. 무단전재 및 재배포 금지.

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기