북한 공작원, 구글 ‘내 기기 찾기’와 카카오톡 악용해 휴대전화 초기화하고 한국에서 악성코드 확산

북한 공작원, 신뢰받는 앱을 악용해 한국인을 공격

한국의 포렌식 조사관들에 따르면 북한 국가 지원을 받는 사이버 작전 세력이 일상적으로 사용하는 도구를 공격 경로로 바꾸는 조직적인 캠페인을 벌였다. 평양과 연계된 세력인 코니 클러스터와 관련된 이들은 구글 계정 인증 정보를 탈취하고, 구글의 내 기기 찾기 서비스를 통해 안드로이드 휴대전화와 태블릿을 원격으로 장악한 뒤, 카카오톡 계정을 탈취해 실제 연락처 네트워크를 통해 악성코드를 퍼뜨렸다. 연구진은 북한 연계 작전 세력이 구글 계정을 침해해 내장된 관리 기능으로 스마트 기기를 원격 제어한 첫 확인 사례라고 설명했다.

지니언스 시큐리티 센터의 보안 분석가들은 공격자들이 먼저 세무 공무원을 사칭해 악성코드를 심었다고 밝혔다. 한동안 조용히 감시한 뒤 침입자들은 탈취한 구글 계정에 로그인했다. 분실 기기를 찾고 보호할 수 있는 소비자 안전 도구인 내 기기 찾기를 통해 휴대전화 위치를 추적하고 원격 초기화를 실행했다. 초기화로 개인 데이터가 지워지고 알림이 일시적으로 차단되면서 다음 단계가 성공하기 쉬워졌다.

표적들이 전화와 알림을 받지 못하는 상황에서 작전은 로그인이 유지된 카카오톡 PC 클라이언트로 옮겨갔다. 공격자들은 피해자의 이름과 신뢰를 쌓아온 대화 기록을 이용해 스트레스 해소 프로그램으로 위장한 악성 파일을 연락처 목록에 보냈다. 이 수법은 사회적 신뢰를 타고 악성코드가 확산되게 했으며, 피해자 다수가 계정에 접근하지 못하거나 휴대전화를 복구하느라 바빠 감지가 늦어졌다.

구글은 이번 활동이 유효한 계정 접근 권한과 정당한 기능을 악용한 것이며, 안드로이드나 내 기기 찾기의 취약점을 이용한 것은 아니라고 밝혔다. 구글은 사용자에게 2단계 인증 또는 패스키를 활성화하고, 위험도가 높은 사용자는 고급 보호 프로그램에 가입할 것을 권고했다.

공격은 어떻게 이뤄졌나

이번 작전은 이메일 미끼, 계정 탈취, 클라우드 기반 기기 제어, 메신저 악용을 결합한 여러 단계로 진행됐다. 내장 서비스와 신뢰받는 앱을 공격 도구로 활용하는 이른바 ‘랜드 오프 더 랜드’ 공격의 사례다. 조사관들이 공개한 두 건의 사건은 9월 5일과 9월 15일에 발생한 사례를 포함하며, 계정 하나가 침해된 뒤 공격이 개인 및 직장 내 관계망을 통해 얼마나 빠르게 악성코드를 퍼뜨릴 수 있는지 보여준다.

1단계: 스피어 피싱과 최초 침해

침입은 한국 국세청을 사칭한 표적 메시지로 시작됐다. 피해자들은 서명된 MSI 설치 파일로 포장된 파일 등 정상적으로 보이는 첨부 파일이나 설치 프로그램을 열도록 유도됐다. 하지만 이 파일들은 백그라운드에서 스크립트를 실행해 지속성을 확보하고 원격 접근 도구를 내려받았다. 분석가들은 Lilith RAT, Remcos RAT, Quasar RAT, RftRAT 등 윈도우 시스템을 완전히 제어할 수 있는 악성코드와 AutoIt 기반 로더를 확인했다. 악성코드는 정찰을 수행하고 브라우저에 저장된 인증 정보를 수집하며 활동을 감시해 계정 탈취를 위한 환경을 조성했다.

표적에는 북한이탈주민 및 인권 옹호 활동을 지원하는 사람들이 포함됐다. 일부 미끼는 스트레스 해소에 도움이 되는 프로그램으로 꾸며졌다. 공격자들은 수신자의 역할과 관심사에 맞춰 메시지를 작성해 파일을 열 가능성을 높였고, 이를 통해 개인용 컴퓨터에 발판을 마련했다.

2단계: 계정 탈취와 내 기기 찾기 악용

악성코드를 심은 뒤 작전 세력은 구글과 네이버 등 서비스의 계정 인증 정보를 훔쳤다. 탈취한 구글 계정 정보로 내 기기 찾기에 접속했다. 이 서비스는 기기 소유자가 휴대전화의 마지막 확인 위치를 조회하고, 소리 재생이나 기기 초기화 같은 명령을 내릴 수 있도록 한다. 침입자들은 위치 조회로 표적이 휴대전화를 사용 중이 아닌지 확인한 뒤 원격 초기화를 실행했다. 조사관들은 일부 사례에서 공격자들이 보안 알림 이메일을 삭제하고 메일함의 휴지통도 비워 흔적을 감추려 한 정황도 발견했다. 복구를 어렵게 하고 휴대전화에 남는 증거를 줄이기 위해 초기화 명령을 여러 차례 내리기도 했다.

기기가 초기화되면 소유자는 이상한 파일에 대해 연락처가 보내는 긴급 메시지 등 새 알림을 확인할 수 없게 됐다. 초기화는 침입을 드러낼 수 있는 흔적도 지웠고, 공격자들은 피해자 계정에 로그인된 다른 기기에서 다음 단계를 실행할 시간을 벌었다.

3단계: 악성코드 확산 통로가 된 카카오톡

한국에서는 카카오톡이 거의 보편적으로 사용되며, 많은 사용자가 PC에 로그인한 상태를 유지한다. 모바일 기기를 초기화한 뒤 공격자들은 피해자의 카카오톡 PC 클라이언트로 옮겨가 악성 파일을 빠르게 배포했다. 피해자의 실명과 프로필 사진으로 짧은 메시지와 첨부 파일을 보냈다. 발신자를 신뢰한 수신자가 파일을 열면 악성코드가 설치돼 감염된 기기가 늘어났다. 한 사례에서는 몇 분 만에 30명이 넘는 연락처에 메시지가 전송됐다. 또 다른 사례에서는 열흘 뒤 별도의 침해 계정에서 광범위한 동시 배포가 이뤄졌다.

배후 세력은 누구인가

이번 활동은 북한 연계 사이버 첩보 네트워크인 코니 클러스터의 소행으로 지목됐다. 이들은 킴수키와 APT37로 널리 추적되는 조직들과 활동 영역이 겹친다. 보안 업체마다 동일하거나 밀접하게 연계된 작전 세력을 서로 다른 이름으로 부르는데, 어스 임프, 오팔 슬리트, 오스뮴, TA406, 베달리아 등이 있다. 이 팀들은 한국의 정부 기관, 교육계, 언론, 시민사회, 암호화폐 커뮤니티를 겨냥한 작전에서 인프라와 도구를 공유한다.

북한 작전 세력은 모바일 기기를 표적으로 삼아온 전력이 있다. 예를 들어 연구진은 유틸리티나 보안 앱으로 위장해 오디오 녹음, 화면 캡처, 파일 유출 기능을 제공하는 안드로이드 스파이웨어를 문서화했다. 이번 작전이 다른 점은 계정 기반 기기 관리 기능을 악용해 휴대전화를 초기화한 다음, 곧바로 PC 메신저 세션으로 옮겨 추가 확산을 시도했다는 것이다. 이는 단일 악성코드가 단독으로 움직인 것이 아니라 여러 플랫폼에 걸친 숙련된 공조가 있었음을 보여준다.

내 기기 찾기 악용이 전환점인 이유

북한 연계 단체들은 수년간 맞춤형 악성코드와 탈취한 인증 정보, 정당한 도구를 결합해왔다. 내 기기 찾기 악용은 소비자 안전 기능을 원격 삭제 및 주의 분산 도구로 바꿔 위험을 키운다. 초기화는 휴대전화를 무력화하고 첩보 활동의 흔적을 지우며, 가장 중요한 순간에 외부 경로로 전달되는 경고를 차단한다. 그 결과 로그인된 PC 세션을 이용해 빠르게 파일을 배포할 틈이 생긴다.

이 수법은 사고 대응도 복잡하게 만든다. 휴대전화에 남아 있었을 원격 측정 데이터와 증거 일부가 초기화와 함께 사라진다. 관련 활동은 기기와 클라우드 계정, PC 클라이언트에 나뉘어 기록된다. 방어 담당자는 전체 과정을 재구성하기 위해 세 곳의 데이터를 모두 수집해야 한다. 지니언스 분석가들은 이 수법을 북한 연계 고도 작전의 중요한 분기점이라고 설명했다.

지니언스 시큐리티 센터는 이번 사례 보고서에서 다음과 같이 밝혔다.

기기를 무력화하고 계정을 통해 확산하는 이 조합은 지금까지 알려진 국가 지원 APT 공격 시나리오에서 전례가 없습니다.

피해와 사람들에게 미친 영향

침입자들은 무작위로 표적을 고르지 않았다. 조사관들에 따르면 북한이탈주민 학생을 지원하는 심리 상담사의 휴대전화가 9월 5일 초기화됐다. 얼마 지나지 않아 상담사의 카카오톡 계정으로 내담자들에게 스트레스 해소 프로그램이라고 표시된 파일이 전송됐다. 여러 수신자가 파일을 열자 기기가 감염됐다. 메신저와 메시지 내용 모두 수신자의 신뢰와 관심사에 기대고 있었다.

열흘 뒤 북한 관련 인권 활동가도 비슷한 일을 겪었다. 활동가의 안드로이드 기기는 내 기기 찾기를 통해 원격 초기화됐고, 이어 활동가의 카카오톡 계정에서 지인 36명에게 악성 파일이 전송됐다. 두 사례 모두 중요한 초기 몇 시간 동안 피해자의 휴대전화가 전화와 알림을 받지 못해, 이상한 점을 감지한 연락처의 경고가 늦어졌다.

초기화로 사진, 문서, 연락처, 업무 자료를 잃은 피해자도 있었다. 조사관들은 감염된 PC에서 웹캠과 마이크를 제어할 수 있는 악성코드 모듈도 발견했다. 이는 초기화 명령을 내리기 전 피해자가 실제로 자리에 있는지 확인하기 위해 카메라를 사용했을 가능성을 제기한다. 한국에서 북한이탈주민과 시민사회 단체를 지원하는 사람들은 이미 특유의 위험에 노출돼 있다. 이번 작전은 일상적인 디지털 생활이 어떻게 이들에게 불리하게 이용돼 개인적·직업적 피해로 이어질 수 있는지 보여준다.

전문가와 당국의 대응

한국 경찰은 9월에 발생한 두 사건에 대한 수사에 착수했다. 분석가들은 코드와 기법이 과거 북한 연계 단체와 관련된 양상과 일치한다고 밝혔다. 조사관들은 상담사와 활동가 등 잠재적 표적에게 계정 침해 여부를 확인하기 위해 PC와 모바일 환경을 모두 철저히 점검하라고 당부했다.

보안팀들은 공격자들이 안드로이드나 내 기기 찾기의 프로그래밍 결함을 이용할 필요가 없었다고 강조한다. 필요한 것은 유효한 인증 정보와 신뢰받는 앱에 대한 접근 권한이었다. 연구진은 서비스 제공업체가 원격 초기화 같은 민감한 작업에 실시간 인증 절차를 추가하고, 메신저는 PC 클라이언트가 짧은 시간에 다수의 연락처로 실행 파일을 보내려 할 때 더 강한 경고를 표시하거나 전송을 지연하는 방안을 권고한다.

구글과 카카오톡 계정 보호 방법

이번 작전은 탈취한 로그인 정보, 로그인 상태가 유지되는 PC 세션, 사용자가 평소 신뢰하는 기능에 의존했다. 다음 조치를 취하면 위험을 낮추고 계정 악용을 어렵게 할 수 있다.

• 구글 계정에서 2단계 인증을 켠다. 패스키나 보안 키를 우선 사용한다. 활동가와 언론인처럼 위험도가 높은 사람은 구글 고급 보호 프로그램에 가입해야 한다.
• 구글 계정 설정을 열어 보안 진단을 실행한다. 낯선 기기와 세션을 삭제하고, 알 수 없는 서드파티 앱의 접근 권한을 철회한다. 복구용 전화번호와 이메일도 확인한다.
• 내 기기 찾기 또는 내 기기 찾기 설정에서 계정에 연결된 기기 목록을 확인한다. 각 기기를 알고 있는지 확인하고, 모든 기기에 강력한 PIN을 설정한다. 원격 초기화에 인증이 필요한지도 확인한다.
• 이메일 보안을 점검한다. 지메일에서 의심스러운 필터, 전달 규칙, 위임된 접근 권한이 있는지 살펴본다. 공격자는 알림을 숨기는 규칙을 추가하기도 한다.
• 공유 PC나 관리되지 않는 PC의 브라우저에 비밀번호를 저장하지 않는다. 마스터 비밀번호나 보안 키로 잠기는 신뢰할 만한 비밀번호 관리자를 사용한다.
• 안드로이드, 윈도우, 맥OS, 카카오톡을 최신 상태로 유지한다. 카카오톡 설정에서 계정에 로그인된 PC를 확인하고 모르는 기기에서는 로그아웃한다.
• 신뢰하는 연락처가 보낸 파일이라도 요청하지 않은 파일이나 앱 설치 프로그램은 주의한다. 파일을 열기 전에 별도의 경로로 발신자에게 전화해 확인한다.
• 중요한 사진과 문서는 오프라인으로 백업한다. 사용하지 않을 때 연결을 끊어 둔 외부 백업은 기기를 초기화해도 영향을 받지 않는다.
• 로그인 알림을 켜고 내용을 꼼꼼히 확인한다. 의심스러운 알림을 받으면 알림의 링크를 클릭하지 않는다. 대신 새 브라우저 세션에서 계정 설정에 직접 접속해 활동 내역을 확인한다.

표적이 됐다고 의심될 때 즉시 취할 조치

• 직접 관리하는 깨끗한 기기에서 구글과 카카오톡 비밀번호를 변경한 뒤 2단계 인증이나 패스키를 활성화한다.
• 구글 계정을 열어 최근 보안 이벤트를 확인하고 다른 모든 세션에서 로그아웃한다. 모르는 앱 토큰은 철회한다.
• 지메일에서 수상한 필터나 전달 규칙을 삭제한다. 카카오톡에서는 모든 PC에서 강제 로그아웃한 뒤 사용하는 PC만 다시 인증한다.
• 휴대전화가 초기화됐다면 새 기기로 간주한다. 복원하기 전에 계정 비밀번호를 변경하고 복구 정보를 확인한다. 신뢰할 수 있는 백업에서만 복원한다.
• 연락처에 본인에게서 온 메시지가 악성일 수 있다고 알린다. 받은 파일을 열지 말고 보안 검사를 실행해 달라고 요청한다.
• 가능한 경우 증거를 보존한다. PC를 초기화하지 않는다. 의심스러운 활동 기록의 화면을 캡처한 뒤 현지 사이버범죄 전담 부서나 신뢰할 수 있는 보안팀에 연락한다.

조직이 지금 해야 할 일

한국에 직원을 두거나 북한 관련 업무를 하는 조직은 자신들이 매력적인 표적이라고 가정해야 한다. 계정 보안과 엔드포인트 모니터링을 결합한 집중적인 대응 체계는 위험을 낮추고 대응 속도를 높인다.

• 모든 구글 워크스페이스 및 ID 제공업체 계정에 다중 인증을 의무화한다. 패스키나 하드웨어 보안 키처럼 피싱에 강한 방식을 도입한다.
• 브라우저 보안을 강화하고 관리되지 않는 환경에서는 비밀번호 자동 저장 기능을 끈다. 직원에게 기업용 비밀번호 관리자를 제공한다.
• AutoIt 로더, MSI 스크립트 악용, Lilith RAT, Remcos RAT, Quasar RAT, RftRAT 등 알려진 RAT 계열을 대상으로 행위 기반 규칙을 적용하는 엔드포인트 탐지·대응 시스템을 도입한다.
• 가능한 경우 이메일 및 메신저 게이트웨이에서 외부 발신자가 보낸 실행 파일 첨부와 MSI 설치 파일을 차단하거나 격리한다.
• 사용자 계정과 연결된 기기 관리 서비스를 통한 원격 초기화와 반복적인 위치 조회 등 의심스러운 작업이 있는지 클라우드 감사 로그를 모니터링한다.
• 세무 기관 공지 등 현지에 맞는 미끼를 활용해 정기적인 피싱 모의 훈련을 실시한다. 북한이탈주민 및 활동가와 관련한 민감한 업무를 담당하는 직원에게는 시의적절한 교육을 제공한다.
• 구글 계정, 카카오톡 PC 클라이언트, 모바일 기기 초기화를 포함하는 계정 탈취 대응 절차를 마련한다. 모의 상황 훈련으로 절차를 점검한다.
• 직원 명의로 온 것처럼 보이는 의심스러운 메시지와 파일을 신고할 수 있는 채널을 마련한다. 신고를 최우선 사안으로 처리한다.

핵심 요약

• 조사관들은 한국인을 겨냥한 새로운 작전을 북한 연계 코니 클러스터의 소행으로 지목했다.
• 공격자들은 구글 인증 정보를 훔쳐 내 기기 찾기로 안드로이드 기기를 추적하고 초기화한 뒤, 카카오톡 PC 세션을 악용해 연락처에 악성코드를 퍼뜨렸다.
• 북한이탈주민 학생을 지원하는 상담사와 인권 활동가가 피해를 입었다. 한 사건에서는 30명이 넘는 연락처에, 다른 사건에서는 36명에게 악성 메시지가 전송됐다.
• 작전에는 국세청을 사칭한 스피어 피싱, 서명된 MSI 설치 파일, AutoIt 스크립트와 Lilith RAT, Remcos RAT, Quasar RAT, RftRAT 등 원격 접근 도구가 사용됐다.
• 연구진은 북한 연계 세력이 침해된 구글 계정으로 내 기기 찾기를 통해 원격 기기 명령을 내린 첫 확인 사례라고 밝혔다.
• 구글은 이번 활동이 안드로이드나 내 기기 찾기의 결함이 아니라 정당한 계정 기능과 탈취한 인증 정보를 악용한 것이라고 밝혔다. 구글은 2단계 인증이나 패스키 사용을 권고했다.
• 한국 경찰이 수사 중이며, 보안팀들은 강력한 계정 보호, 기기 보안 강화, 메신저로 받은 파일의 신중한 확인을 권고한다.
• 위험도가 높은 사용자는 고급 보호 프로그램에 가입하고, 구글과 카카오톡에 로그인된 기기를 점검하며, 초기화 피해를 줄일 수 있도록 오프라인 백업을 유지해야 한다.