북한 해커들이 가짜 미국 회사를 설립해 암호화폐 개발자들을 악성코드 함정으로 유인한 사례

북한 해커, 암호화폐 개발자를 노린 미국 회사 설립

라자루스 그룹과 연계된 북한 해커들이 암호화폐 분야에 침투하기 위한 캠페인의 일환으로 미국에 두 개의 회사를 조용히 설립했다고 사이버 보안 업체인 사일런트 푸시(Silent Push)가 밝혔습니다.

이 회사들은 각각 뉴멕시코와 뉴욕에 등록되어 있으며, 암호화폐 업계에서 의심하지 않는 개발자들에게 멀웨어를 전달하는 전진기지 역할을 하고 있습니다.

가짜 기업, 기업 전선 뒤에 숨은 진짜 위협

공격자들은 위조된 신원과 가짜 주소를 사용하여 미국에 기반을 둔 합법적인 기업이라는 착각을 불러일으켰습니다.

사일런트 푸시 연구원들은 이 작전이 "전염성 인터뷰"로 알려진 라자루스 내 하위 그룹이 주도했다고 말합니다.

이 그룹은 미국에 등록되지 않았지만 동일한 멀웨어 유포 활동에 관여한 세 번째 가짜 회사인 Angeloper Agency를 설립했습니다.

이 사건이 특히 우려스러운 것은 이러한 조직이 단순히 웹사이트의 외관을 꾸민 것이 아니라 조작된 데이터를 사용하여 공식적으로 설립되었으며, AI가 생성한 직원 프로필을 사용하여 전체 가짜 팀을 구성했다는 점입니다.

출처: 사일런트 푸시

'메흐메트 데미르'는 링크드인에서 만든 조작된 인물로, 그의 경력에 유령 회사 두 곳을 나열하여 작전의 정당성을 더했습니다. (출처: 사일런트 푸시)

면접 함정을 통해 멀웨어가 확산되는 방법

이 캠페인은 사기성 면접 전술에 크게 의존했습니다.

암호화폐 업계에서 일자리를 찾는 개발자들은 이러한 유령 회사의 가짜 구인 제안으로 유혹을 받았습니다.

일단 접촉이 성사되면 업무 관련 자료로 위장하여 멀웨어가 전송되었습니다.

목표는 암호화폐 플랫폼에 대한 후속 공격을 허용할 수 있는 지갑 자격 증명과 민감한 데이터를 훔치는 것이었습니다.

사일런트 푸시는 `blocknovas[.]com`과 같은 도메인을 운영과 연결하여 합법적인 채용 사이트를 모방하도록 설계된 조직적인 인프라 네트워크를 제안했습니다.

출처: 사일런트 푸시

출처: 사일런트 푸시

수십억 달러의 성과를 거둔 익숙한 플레이북

이 최신 캠페인은 이전의 유명 침해 사고에서 볼 수 있는 패턴과 일치합니다.

라자루스 그룹은 가짜 취업 미끼를 통해 개인을 노리는 것으로 유명합니다.

2021년에도 비슷한 전략으로 스카이 마비스에 침투하여 6억 2,500만 달러 규모의 로닌 브리지 해킹 사건이 발생했습니다.

2022년에는 하모니의 호라이즌 브리지에서 1억 달러가 도난당하는 또 다른 직업 기반 사기 사건이 발생했습니다.

유엔과 블록체인 분석 회사 체인널리시스의 추산에 따르면 2017년 이후 라자루스와 연계된 조직은 30억 달러 이상의 암호화폐를 훔쳐갔습니다.

이러한 캠페인은 북한의 국가 지원 사이버 부대가 주로 사용하는 방법이 되었습니다.

어떻게 이런 회사들이 적발되지 않고 등록될 수 있었나요?

공격자들은 위조된 개인 정보와 딥페이크 스타일의 프로필 이미지를 사용하여 회사를 등록하고 기업 웹사이트를 구축했습니다.

Silent Push의 위협 인텔리전스 디렉터인 케이시 베스트는 다음과 같이 말합니다,

"이는 북한 해커들이 의심하지 않는 구직자들을 공격하는 데 사용되는 기업 전선을 만들기 위해 실제로 미국에 합법적인 법인을 설립한 드문 사례입니다."

이 작전의 규모와 야심은 북한 사이버 부대가 탐지 및 규제 조사를 피하고 전 세계 암호화폐 전문가들의 신뢰를 얻기 위해 미국 법인의 신뢰성을 활용하기 위해 사용하는 진화하는 전술을 잘 보여주고 있습니다.