구글, 중국 해커 UNC6384 공격 공개…외교관·기관 정조준

“합법 인증서·사회공학 기법 악용한 다단계 공격 전모”

공격 체인(과정) 다이어그램ⓒ구글 클라우드 공식 블로그

구글 위협 인텔리전스 그룹(GTIG)은 지난 3월 중국 연계 해킹 조직 UNC6384가 동남아시아 외교관 및 전 세계 기관을 상대로 정교한 해킹 공격을 감행했다고 26일 밝혔다.

구글 클라우드 공식 블로그에 게재된 '정교한 기만: 중국 연계 스파이 캠페인, 외교관 노려 웹 트래픽 탈취'(Deception in Depth: PRC-Nexus Espionage Campaign Hijacks Web Traffic to Target Diplomats)' 보고서에 따르면 이들은 중간자 공격(Adversary-in-the-Middle) 기법을 통해 피해자의 웹 트래픽을 가로채 악성 웹 사이트로 리디렉션했다.

이후 피해자가 어도비(Adobe) 플러그인 업데이트 파일로 위장한 악성 소프트웨어를 내려받도록 유도했으며, 프로그램이 설치된 뒤에는 피해자 PC 메모리에 ‘SOGU.SEC’라는 은밀한 백도어를 심어 보안 탐지를 회피했다.

GTIG는 이번 공격이 ▲합법적 도메인(gstatic.com) 리디렉션 악용 ▲TLS 인증서 기반 탐지 우회 ▲사회공학적 기법 결합 등 고도화된 수법을 총동원한 사례라고 설명했다.