라자루스 ‘플래시홀 작전’, 국내 기업 공격에 쓰인 침투 경로는

라자루스와 연계됐을 가능성이 있는 해킹 조직이 국내 기업 최소 3곳을 공격한 정황이 드러났다.

카스퍼스키가 분석한 ‘플래시홀 작전’에서 가장 이른 흔적은 2025년 7월로 파악됐다.

공격 대상은 소프트웨어 개발사와 건설사, 유선 통신장비 제조사 등이다.

카스퍼스키는 공격 방식과 조직의 연관 가능성을 분석했지만, 라자루스의 소행으로 확정한 것은 아니다.

침투 경로로 악용된 것으로 분석된 프로그램은 인터넷뱅킹과 일부 정부 사이트 이용 때 설치하는 금융 보안 프로그램 ‘크로스웹 EX’다.

이 프로그램은 공개키 기반구조(PKI)를 이용해 사용자 브라우저와 웹서버 사이의 통신을 암호화하고, 컴퓨터 백그라운드에서 상시 작동한다.

카스퍼스키는 보안 프로그램의 배포 구조상 허점이 공격에 이용된 것으로 봤지만, 크로스웹 EX가 구체적으로 어떤 방식으로 악용됐는지는 규명하지 못했다고 밝혔다.

해커들은 개발자 구직 이력서나 인테리어 포트폴리오로 꾸민 가짜 웹사이트를 만들어 표적을 유인했다.

임직원이 피싱 이메일을 통해 사이트를 방문한 뒤 보안 프로그램의 허점을 거쳐 악성코드가 침투했을 가능성이 제기됐다.

이력서에 쓰인 인물 사진은 인공지능으로 생성된 것으로 추정됐고, 표적에 맞춘 사이트 제작에도 인공지능이 활용됐을 가능성이 있다고 카스퍼스키는 분석했다.

감염 뒤에는 개발자 플랫폼 깃허브와 클라우드 저장 서비스 드롭박스가 악성코드의 명령 전달이나 통신 경로로 활용됐다.

정상적인 서비스를 통신에 이용하면 악성 활동을 일반적인 인터넷 이용과 구분하기 어려워 탐지를 피하는 데 유리할 수 있다.

추가 악성코드 전달에는 양자내성암호 기반 키 교환 기술 ‘ML-KEM-1024’와 별도의 암호화 기법이 쓰인 것으로 조사됐다.

양자컴퓨터의 해독 공격에도 견디도록 설계된 기술을 악성코드 전달 내용을 감추는 데 활용한 것이다.