김수키가 뿌린 악성코드 예시. 안랩 제공

북한 해커조직 ‘김수키’가 마이크로소프트(MS) 악성코드 유포를 위해 윈도우 도움말 파일을 악용하는 것으로 드러났다.

보안업체 안랩은 김수키가 최근 윈도우 도움말 파일(.chm) 형식으로 된 악성코드를 무작위 유포하고 있다고 2일 밝혔다.

이 악성코드는 주로 이메일의 첨부파일로 붙어서 사례비나 개인정보 양식으로 위장돼 유포된다고 한다.

이메일 속 첨부파일의 CHM 형식 파일을 실행하면 HTML 파일로 된 도움말 창이 생기는데, 이때 htm 또는 html 파일에 포함된 악성 명령어가 함께 실행된다.

도움말 창에 정상적인 내용이 나오기 때문에 이용자는 PC가 악성코드에 감염된 사실을 알아차리기 어렵다.

김수키는 유포한 악성코드로 사용자 정보를 수집하거나 키보드 입력 정보를 가로채 ‘키 로깅’ 공격을 하는 것으로 파악됐다. 키 로깅은 사용자가 키보드로 PC에 입력하는 정보를 낚아채는 해킹 기술이다.

김수키가 뿌린 악성코드 예시. 안랩 제공

안랩은 김수키가 보안 프로그램 진단을 우회하기 위해서 윈도우 도움말 파일이나 바로가기 파일(.lnk), 원노트 파일(.one) 등으로 악성코드 유포 방식을 다변화하고 있다고 봤다. 이같은 악성코드 감염을 예방하려면 PC 내 백신의 최신 버전 업데이트를 지속적으로 해야 한다.

글로벌 보안업체 등에 따르면 김수키는 사이버 범죄를 통해 정권의 첩보 작전에 필요한 자금을 조달하는 것으로 알려졌다. 특히 최근 국제사회의 제재로 외화 벌이가 어려워지자 해킹, 마약 밀매 등 범죄를 다각화 한다는 것이다.

김수키는 2014년 한국수력원자력을 해킹한 것으로 알려졌으며, 국내 공공기관이나 외교·안보 분야 전문가, 가상화폐 등을 노린 사이버 공격을 계속 시도하고 있다.