북한 해킹조직…가짜 암호화폐 앱으로 장기 침투 노린다

NSHC, 국제 보안행사서 북한 가상자산 탈취 공격 소개

[디지털데일리 김보민기자] 북한 배후 해킹조직 라자루스가 가짜 암호화폐 거래 애플리케이션을 이용해 공격을 가하고 있다는 분석이 나왔다.

정보보안 전문기업 NSHC는 지난 24일부터 25일까지 말레이시아 쿠알라룸푸르에서 열린 '나노섹(NanoSec) 2025'에 참여했다고 26일 밝혔다.

NSHC는 북한 라자루스 그룹의 최신 사이버 공격 작전을 분석한 내용을 공개했다. 이번 발표는 NSHC 위협 분석 전문조직인 '위협분석 연구소(Threat Research Lab)'에서 2025년 5월에 포착한 가짜 암호화폐 거래 애플리케이션을 이용한 해킹 캠페인에 대한 분석을 다뤘다.

NSHC에 따르면 공격자는 겉보기에 정상적인 거래 프로그램처럼 보이지만, 실제 악성코드가 숨겨진 설치 파일을 사용했다. 이 프로그램은 NSIS(Nullsoft Scriptable Install System) 기술을 이용해 사용자의 컴퓨터에 설치되며, 내부에는 일렉트론(Electron) 프레임워크로 만들어진 앱과 자바스크립트(JavaScript) 로더가 포함돼 있었다.

이 로더는 추가 악성코드를 다운로드해 실행하도록 설계된 것으로 확인됐다. 다음 단계에서는 파이썬(Python) 기반 모듈이 컴퓨터 제어와 정보 탈취를 수행했다. 마지막 단계에서는 공격자가 원격으로 시스템을 제어하고 장기적으로 침투를 유지할 수 있도록 했다.

이번 공격은 정상 프로그램과 합법적인 서비스를 악용했다는 특징이 있다. 공격자는 온라인 메모 서비스를 이용해 암호화된 명령과 파일을 전달했고, 토르(Tor) 네트워크를 이용해 위치를 숨기고 통신 경로를 은폐했다. 또한 원격제어 프로그램 애니데스크(AnyDesk)를 악용해 탐지를 피하고 접속을 유지했다. 이러한 방식은 외형상 합법적인 소프트웨어처럼 보이기 때문에 일반 사용자나 기업 보안시스템이 쉽게 구분하기 어렵다.

최병규 NSHC 대표는 "라자루스 그룹은 금전 탈취를 넘어선 장기적인 사이버 작전 능력을 갖춘 위협 세력"이라며 "가상자산 산업은 국가 차원의 해킹 공격 대상이 되고 있는 만큼, 국제 보안 커뮤니티 간 협력과 위협 정보 공유가 중요하다" 말했다.

한편 NSHC는 2003년 설립 이후 위협인텔리전스, 악성코드 분석, 보안 컨설팅 등 다양한 서비스를 제공하고 있다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -