북한 해커들이 가짜 미국 회사를 이용해 암호화폐 개발자들을 해킹하고 있다

미국 법률 문서와 로이터 통신이 입수한 조사 자료에 따르면, 북한의 사이버 공작원들은 미국에 두 개의 유한책임회사를 조용히 설립한 후, 이를 이용해 암호화폐 업계에서 구직 중인 소프트웨어 엔지니어들에게 악성 코드를 몰래 심어 넣은 것으로 드러났습니다.

사이버 보안 회사인 사일런트 푸시(Silent Push)는 뉴멕시코의 블록노바스(Blocknovas LLC)와 뉴욕의 소프트글라이드(Softglide LLC)가 해커들이 합법적인 고용주처럼 위장하여 지원자들에게 악성 소프트웨어를 유포하기 위해 가짜 이름과 임대 주소를 사용했다고 밝혔습니다. 세 번째 회사인 앤젤로퍼 에이전시(Angeloper Agency) 역시dent악성 웹 활동 흔적을 가지고 있었지만, 미국 기업 등록부에는 등록되어 있지 않았습니다.

"이번 사례는 북한 해커들이 미국에 합법적인 기업체를 설립하여, 아무것도 모르는 구직자들을 공격하기 위한 위장 회사를 만든 드문 경우입니다."라고 위협 정보 분석 업체 사일런트 푸시의 케이시 베스트 이사는 에 밝혔습니다 .

미국 연방수사국(FBI)은 두 회사에 대해 직접적인 언급을 피했습니다. 그러나 목요일, FBI는 블록노바(Blocknovas) 웹사이트에 도메인 압수 공지를 게시했는데, 해당 공지에는 "이 도메인을 이용해 가짜 구인 광고를 게시하고 악성 소프트웨어를 배포한 북한 사이버 공격자들에 대한 법 집행 조치의 일환으로 도메인을 압수했다"고 명시되어 있었습니다

작전 개시 전, FBI 고위 관계자들은 "북한 ​​관련자들뿐만 아니라 그들의 이러한 계획을 실행하는 데 도움을 주는 모든 사람에게 위험과 결과를 부과하는 것이 우리의 목표"라고 밝혔습니다

한 관계자는 북한의 해킹 부대를 "오늘날 미국이 직면한 가장 고도화된 지속적인 위협 중 하나"라고 평가했다.

사일런트 푸시(Silent Push) 에 따르면 공격자들은 채용 담당자로 가장하여 면접 대상자에게 악성 파일을 열도록 요구했습니다.

Blocknovas와 Softglide는 구인 광고를 이용해 암호화폐 개발자들에게 악성 소프트웨어를 유포했습니다

실행되면 해당 파일은 암호화폐 지갑 키, 비밀번호 및 기타dent증명을 수집하려고 시도하며, 이는 나중에 거래소나 기술 회사에 침입하는 데 사용될 수 있습니다.

해당 회사의 미공개 보고서는 "다수의 피해자"가 있음을 확인했으며, 대부분은 블록노바(Blocknovas)를 통해 접근당했다고 밝혔습니다. 연구원들은 블록노바를 세 가지 경로 중 "단연코 가장 활발한" 경로라고 설명했습니다.

주 정부 기록에 따르면 블록노바스는 2023년 9월 27일 뉴멕시코주에 등록되었습니다. 서류상 주소는 사우스캐롤라이나주 워런빌로 기재되어 있지만, 구글 지도에서 해당 주소는 빈터로 나타납니다.

소프트글라이드의 뉴욕 법인 설립은 버팔로에 있는 작은 세무 대행 사무소와 trac이 있는 것으로 밝혀졌습니다. 두 건의 서류에 이름이 올라 있는 사람들의 trac은 전혀 알 수 없었습니다.

미국 관리들은 이러한 패턴이 북한의 외화 확보를 위한 광범위한 움직임의 일환이라고 말합니다. 워싱턴, 서울, 그리고 유엔 전문가들은 오랫동안 평양이 암호화폐를 훔치고 수천 명의 정보 기술 인력을 해외로 파견하여 핵미사일 프로그램을 지원하고 있다고 비난해 왔습니다.

미국 내에서 북한이 소유한 회사를 운영하는 것은 미국 재무부 해외자산통제국(OFAC)이 부과한 제재를 위반하는 행위입니다. 또한 북한 국가 또는 군사에 이익이 되는 상업 활동을 금지하는 유엔 안전보장이사회의 결의안도 위반하는 것입니다.

악성코드가 포함된 채용 파일이 라자루스 그룹과 연관되어 있습니다

뉴멕시코 주 국무장관은 이메일을 통해 블록노바스가 등록된 대리인을 통해 온라인 국내 유한책임회사(LLC) 시스템을 통해 등록되었으며 주 규정을 충족하는 것으로 보인다고 밝혔습니다. 국무장관실 관계자는 "우리 사무실에서는 블록노바스와 북한의 연관성을 알 방법이 전혀 없다"고 덧붙였습니다.

수사관들은 이 활동이 라자루스 그룹 평양의 주요 해외 정보 기관인 정찰총국 산하의 엘리트 해킹팀

Silent Push는 악성 작업 파일 내에서 이전에 알려진 최소 3가지 악성코드 계열을dent. 이 도구들은 감염된 시스템에서 데이터를 빼내고, 추가 침입을 위한 백도어를 열고, 추가 공격 코드를 다운로드할 수 있는데, 이는 과거 Lazarus 활동에서 자주 볼 수 있었던 플레이북과 유사합니다.

현재 블록노바스의 도메인은 연방 정부의 압류 상태이며, 소프트글라이드의 웹사이트는 접속이 불가능하고, 앤젤로퍼 에이전시의 페이지는 오류를 표시합니다. 하지만 수사관들은 새로운 가명이 빠르게 나타날 수 있다고 경고합니다.

미 연방수사국(FBI)은 성명에서 "이번 작전은 북한 사이버 공격자들이 제기하는 위협이 끊임없이 진화하고 있음을 보여준다"며, 기술 전문가들에게 원치 않는 취업 제안을 꼼꼼히 살펴보고 의심스러운 연락이 있을 경우 신고할 것을 촉구했다.