#김숙희 아니고 킴수키 #위장 해킹의 명수 #간첩 아닌 생계형 해커?

국내의 크고 작은 해킹 공격을 주도하고 있는 해커 조직 '킴수키'가 다시 움직이고 있다. 이스트시큐리티와 안랩 등 국내 보안업계에 따르면 올해 들어서 목격된 킴수키의 대규모 해킹 공격만 7회에 달한다. 이름도 특이한 킴수키, 흔한 한국 이름인 김숙희랑 비슷한 느낌이다. 정체가 궁금하다.

◆北 해커 조직의 선두주자…한수원 해킹의 주범?

킴수키는 2010년경부터 국방부와 통일부 등 정부 부처 및 유관기관을 해킹해 사회기반 시설, 탈북자 등의 관련 자료를 빼낸 북한 추정 해킹 조직의 이름이다. 

지난 2013년 러시아 정보보안업체가 해커의 이메일 계정인 ‘김숙향(kimsukyang)’이라는 이름으로 보고서를 발표하면서 알려졌다. 이후 지난 2014년 12월 발생한 한국수력원자력(한수원) 해킹 사건에 사용된 악성코드 핵심 기술인 셸코드가 킴수키가 사용해 온 해킹 기술과 90% 이상 일치한다고 분석돼 한수원 해킹 배후로 지목됐다. 

특히 한수원 직원에게 이메일로 허위 입력창을 보낸 후 비밀번호를 입력하도록 해 자료를 빼낸 것이, 킴수키가 2010년 통일부 내부의 자료를 해킹한 방식과 유사하고, IP 주소 또한 12자리 중 9자리가 같아 둘 다 중국 선양(瀋陽)의 가상사설망(VPN) 업체를 경유한 것으로 보고 있다.

지난 2013년 8월 ‘제57차 국제원자력기구(IAEA) 총회 참가자료’라는 명칭의 문서를 열면 악성코드가 작동, PC 자료를 해커에게 자동 전송하는 사건이 발생했는데 당시 셸코드가 킴수키와 일치한 바 있다. 이 문서에는 IAEA 총회 중 한미 양국 수석대표 면담 일정이 포함돼 있었는데, 여기에 한수원 관련 참여 대표 명단이 포함된 것으로 알려졌다. 이에 킴수키가 기관에서 해당 문서를 빼돌린 후 악성코드를 심어 원전 업계에 유포한 것으로 추정하고 있다.

그러나 킴수키는 자료 탈취형 악성코드를 활용한 데 반해 원전 해커는 하드디스크 파괴형을 사용해 동일범이 아닐 수도 있다는 주장도 있다.

◆위장 전술로 국내 해킹 몰두…올해만 7차례

킴수키는 올해만 벌써 7차례 대규모 해킹을 계획한 것으로 추정된다. 이메일 또는 다양한 경로를 통해 위장 문서를 보내고, 이용자가 클릭하면 감염되는 방식이 주를 이룬다. 대표적인 사례가 지난 1월 통일외교안보특보 발표문건을 사칭한 악성코드 해킹이다.

당시 문정인 통일외교안보특보 세미나 발표 문서로 위장한 문서 파일이 대규모 유통됐다. 이를 클릭하면 한국의 특정 서버에서 추가 악성코드를 설치하고, 사용자 PC의 시스템 정보와 최근 실행 목록, 실행 프로그램 리스트 등 다양한 정보를 수집하는 동작을 수행하는 동시에 공격자의 추가 명령을 대기하는 이른바 '좀비 PC'가 된다.

좀비 PC 상태가 되면 공격자가 원격 제어 등을 통해 언제든 추가 악성 행위를 시도할 수 있어, 2차 피해로 이어질 가능성이 높다. 다만, 스크립트 형식에 일부 알파벳 오타가 존재해 명령어가 제대로 수행되지 않는 경우도 존재한다.

2월 들어서도 킴수키는 코로나19로 위장한 문서 파일을 대규모 유통하며, 컴퓨터 내 개인정보를 빼가는데 혈안이 돼 있다. 지난 3일에는 비건 미국 국무부 부장관 서신 내용으로 위장(APT 공격)한 해킹 공격도 발견됐다. 

◆대남 정보 획득? 외화벌이가 더 급해 

관련업계에선 최근 들어 킴수키가 대남 정보 획득 외에도, 확보된 정보를 바탕으로 외화벌이에 나서는 것으로 보고 있다. 지난해부터 급증하고 있는 암호화폐 거래업체에 대한 해킹 주범으로 킴수키가 꼽히는 탓이다.

실제 지난해 5월 암호화폐 거래사이트 해킹 당시에도 해킹 수법이 킴수키 조직과 유사해, 보안업계에선 킴수키가 대남 활동보다는 외화벌이에 총력을 기울이는 것 아니냐는 해석을 내놓은 바 있다. 실제 북한 추정 해커 조직은 지난 2016년 방글라데시 중앙은행 계좌를 털어 약 900억원의 외화를 탈취한 바 있다.

관제 보안업체 관계자는 "북한 해커들이 파밍 등 아예 중소 금융업체를 직접 공략하고 있는 것으로 보인다"며 "정식 금융업으로 지정되지 않아 상대적으로 보안이 취약하지만 막대한 자금을 빼돌릴 수 있는 가상화폐 거래소 등이 북한 해커들의 주요 타깃이 된 상황"이라고 말했다.

이수호 기자 lsh5998688@techm.kr