게임앱에 심은 스파이웨어… 연변 거점 탈북민 네트워크 겨냥
“진화하는 北 사이버 공작, 현실 세계 추적·감시로 확장”

북한 정찰총국 산하 해킹조직 스카크러프트가 연변 주민들이 즐겨 쓰는 게임 플랫폼 ‘sqgame’을 장악해 탈북민을 표적으로 한 사이버 첩보작전을 최소 2024년 11월부터 수행해 온 것으로 드러났다.

두만강을 건너면 연변이다. 백두산 북쪽 기슭, 조선족 70만 명 안팎이 모여 사는 이 땅은 오랫동안 탈북의 길목이었다. 북한을 빠져나온 이들이 한국행을 준비하며 숨을 고르는 곳, 중국 공안의 감시망과 탈북 지원 네트워크가 뒤엉켜 있는 연변조선족자치주. 그 일상 속으로 북한 해커들이 조용히 스며들었다. 무기는 게임이었다.

지난 5월 5일, 슬로바키아 사이버보안 기업 이셋(ESET)이 발표한 보고서에는 북한 해커 조직이 게임 플랫폼을 악용해 탈북민 등을 추적한 정황이 담겼다. 북한 정찰총국 산하 해킹조직 스카크러프트(ScarCruft)가 연변 주민들이 즐겨 쓰는 게임 플랫폼 ‘sqgame’을 장악해 탈북민을 표적으로 한 사이버 첩보작전을 최소 2024년 11월부터 수행해 온 것으로 드러났다.

sqgame은 연변 사람들을 위해 설계된 게임 플랫폼이다. 현지식 화투·카드 게임을 PC 혹은 모바일로 즐길 수 있다. 한국어와 중국어가 뒤섞인 이 플랫폼은 연변의 조선족과 재중 탈북민 모두에게 낯익은 공간이었다. 해커들은 웹사이트 서버를 침범해 정상 게임 앱 두 개를 가져간 뒤, 스파이웨어를 끼워 넣어 원래 자리에 다시 올려놨다. 사용자가 공식 사이트에서 게임을 내려받아 설치하면 자신도 모르게 스파이웨어까지 함께 설치되는 구조다.

이셋은 지난해 12월 sqgame 측에 해킹 사실을 통보했으나 sqgame에서 아무런 답이 없었다고 밝혔다. 악성 앱은 보고서가 공개된 뒤 며칠이 지난 뒤에야 사이트에서 내려갔다. 이셋 수석 연구원 필립 유르차코(Filip Jurčacko)는 본지와의 서면 인터뷰에서 “sqgame이 무작위로 선택된 것이 아니며, 연변 지역 이용자층을 보유하고 있다는 점에서 선택에 영향을 미쳤다고 판단한다”고 밝혔다. 이어 “스카크러프트의 기존 활동 성향과 연변의 역할을 고려할 때 탈북민이 가장 유력한 표적이었을 것으로 보고 있다”고 전했다.

‘트로이목마’된 현지식 화투게임 앱

연변에 거주하는 탈북민들이 휴대전화로 게임 앱을 즐긴다는 것이 다소 낯설게 들리겠지만, 실제로는 흔한 풍경이다. 탈북민 인권 단체 전환기정의워킹그룹의 박수곤 IT 시스템·보안 담당관은 본지와의 통화에서 “이번 사례를 알아보던 중 위에서 넘어온 분들께 물어보니, 농장에서 일하거나 논밭을 가꾸는 일이 끝나고 나면 무료해서 이번 사례에 언급된 게임 앱들을 많이 즐긴다고 하더라”며 “(해킹에 악용된 게임 앱은) sqgame만이 아니라 위챗 같은 다른 앱에서도 서비스될 만큼 연변과 중국의 동북 3성(랴오닝·지린·헤이룽장)에서 유명한 게임이라고 들었다”고 전했다. 이어 “때문에 최근에 (남한으로) 넘어온 탈북민이나 연변 거주자들의 휴대전화가 실제로 악성 앱에 감염돼 있을 가능성이 있다”고 덧붙였다.

더욱이 sqgame 사이트에서는 게임뿐 아니라 한국 드라마, 성인용 동영상 등 다양한 콘텐트도 함께 제공해 연변 지역 주민들 사이에서 종합 문화 플랫폼처럼 쓰이고 있었던 것으로 전해진다. 당국의 단속으로 오락거리가 부족한 환경에서 자연스럽게 이용률이 높아진 공간이었다. 박수곤 담당관은 이 앱의 사정권이 탈북민에 그치지 않는다고 봤다. “감염된 앱을 내려받은 대상이 탈북민일 수도 있고, 탈북을 지원하는 조선족이나 활동가·브로커일 수도 있다. 또 중국에 주재하는 외화벌이 노동자나 간부까지 모두 컨트롤하고 감시하는 하나의 수단으로 활용됐을 가능성이 있다.”

스파이웨어가 한 번 실행되면 피해자 스마트폰에서 빠져나가는 정보는 광범위하다. 게임 앱을 처음 켜는 순간, 전체 연락처·문자메시지·통화기록·저장된 모든 파일 목록이 수집된다. 이후 앱을 켤 때마다 현재 위치(IP 기반), 배터리·저장공간 상태 등이 주기적으로 전송된다. 이와 관련해 필립 유르차코 이셋 수석 연구원은 “이러한 정보들이 북한 정권의 이해관계에 반하는 활동을 하는 인물들을 식별하는 데 도움이 될 것으로 평가한다”고 전했다.

특히 주목할 만한 부분은 수집 대상 파일 형식이 구체적으로 지정됐다는 점이다. 사진(jpg), 워드·엑셀·파워포인트 문서, 텍스트 파일, 음성파일(m4a), 그리고 한글 문서(hwp)와 공인인증서 파일(p12)이 포함됐다. hwp는 한국에서 주로 사용하는 문서 형식이다. 작전이 처음부터 한국어 사용자를 겨냥해 설계된 것으로 추정할 수 있다.

국내 사이버 위협 인텔리전스 전문가인 김호광 베타랩스 대표는 수집 대상 파일 형식에 ‘p12’와 ‘hwp’가 함께 포함된 것이 핵심이라고 분석했다. “hwp 파일에는 정부·공공기관 공문, 탈북민 지원 NGO 문서, 법률 자료 등이 담긴다. 이를 통해 공격자는 표적이 한국 사회와 어떤 연계망을 가졌는지 파악할 수 있다. p12 파일은 한국 공동인증서·금융인증서라, 이 파일과 비밀번호가 함께 탈취되면 공격자는 피해자의 인터넷뱅킹, 정부24, 홈택스 등 금융 자산과 정보에 접근할 수 있다.”

마이크를 통한 주변 녹음 기능도 탑재됐다. 시간은 세 시간으로 제한돼 있다. 저녁 7시부터 10시까지다. 이에 대해 김호광 대표는 “표적이 가족이나 지인과 함께 있을 가능성이 가장 높은 저녁 시간대에 한정한 음성 수집은 단순 자동화가 아니라, 표적의 가족·연계 인물을 파악하려는 인적 정보 보강용 설계”라고 해석했다. 탈북민 한 명을 넘어 그 주변 인물 전체를 추적하기 위한 의도라는 것이다.

김 대표는 “연변은 해가 지면 할 것이 별로 없다. 저녁 시간에 탈북민들이 다 같이 모여 게임을 하며 이런저런 이야기를 나누는데, 그 시간대를 노린 것 같다”며 “연변은 상대적으로 PC방 문화가 굉장히 발달해 있는데, 여럿이 숙소형 PC방에 모여 PC게임 외에도 마작, 고스톱 등 오프라인 놀이를 즐기기도 한다”고 말했다.

‘hwp’ 한글 파일 수집… “한국인 겨냥한 작전 설계”

북한 해커 조직이 이번 공격을 감행한 목적은 무엇일까. 김소원 전환기정의워킹그룹 중국전담조사관은 이번 공격의 목적을 개인 특정이 아닌 네트워크 해체로 봤다. 김 조사관은 “김정은 집권 이후 북한은 탈북 제로화를 추구해 왔는데, 최근의 흐름은 탈북민 개인을 겨냥하기보다 그 개인을 돕는 조력자 네트워크 자체를 차단하는 데 초점이 맞춰져 있다”며 “이번 해킹도 단순한 개인 색출이 아니라, 탈북 지원 생태계 자체를 무력화하기 위해 조력자를 찾아내는 데 목적이 있는 것으로 보인다”고 전했다.

이번에 드러난 스파이웨어의 내부 코드명은 ‘zhuagou’다. 이셋은 이를 ‘개 잡기(개를 잡는다)’로 단순 직역했지만, 김호광 대표는 다른 해석을 내놨다. 중국권 해커·크랙·게임핵 커뮤니티에서 ‘zhuagou’는 2012년경부터 계정·정보 수집, 사용자 추적, 로그 탈취 모듈을 지칭하는 표준 은어로 통용됐다는 것이다.

그는 “이 작명은 도구 계보의 결정적 단서”라며 “정황적으로 추론해 봤을 때 스카크러프트가 무에서 창조한 도구가 아니라 기존 중국권 정보 수집 모듈을 인수·강화한 결과물일 수 있다”고 밝혔다. 이어 “실제로 러시아와 중국, 북한의 해커들은 블랙마켓에서 해킹 프로그램을 많이 거래한다. ‘당근마켓(온라인 중고거래 플랫폼)’ 같은 시스템이다. 북한 해커들은 러시아·중국 해커들의 해킹 프로그램을 사서 개조해 활용한다”고 덧붙였다.

이번 작전에서 눈길을 끄는 대목이 또 있다. 북한 해커들은 스파이웨어를 자신들의 서버에서 직접 배포하지 않았다. 대신 한국 중소기업 웹사이트 여섯 곳을 별도로 해킹해 악성 파일 보관 창고로 활용했다. 동원된 사이트는 음식업체, IT기업, 법률사무소, 인쇄업체, 해운회사, 소프트웨어업체 등 업종이 다양했다. SK브로드밴드·LG데이콤 등 국내 통신망을 통해 운영되는 사이트들이다. 피해자 기기가 이 한국 사이트들에서 파일을 내려받으면 보안 장비는 ‘한국 사이트와 정상 통신’으로 인식해 넘어간다. 북한발 흔적을 지우는 치밀한 수법이다.

이에 대해 김호광 대표는 “단일 작전에 한국 도메인 여섯 곳이 호스팅 자원으로 동원됐다. 국내 중소사업자 웹호스팅 환경의 보안 위생이 북한 해커 조직의 선호 운용 자원이 됐음을 확인할 수 있다”며 “KISA(한국인터넷진흥원)와 과학기술정보통신부의 중소사업자 보안 점검 프로그램 실효성을 재검토할 필요가 있다”고 지적했다.

“사이버 위협, 이제 현실 세계 추적·감시로 이어진다”

탈북민을 겨냥한 북한의 사이버 공작은 어제오늘 일이 아니다. 박수곤 전환기정의그룹 보안담당관은 북한 해킹조직이 탈북민 커뮤니티를 노려온 대표 사례로 2017년 ‘북한을 위한 기도’와 2020년 ‘꿈의 천사’ 사건을 꼽았다. ‘북한을 위한 기도’는 해커가 탈북민 지원기관 관계자들에게 “북한을 위해 기도하실 분을 찾습니다”라는 내용의 메시지를 보내 앱 설치를 유도해 감염된 기기를 통해 정보를 수집한 사건이다. 시드니의 목사를 사칭한 페이스북 계정 ‘꿈의 천사’는 탈북민과 탈북민 관련 단체장들에게 접근해 신뢰 관계를 형성하고 악성 파일을 유포했다.

지난해에도 탈북민을 노린 사례가 확인된 바 있다. 국내 사이버보안 기업 지니언스 시큐리티 센터(Genians Security Center)는 지난해 9월 북한 연계 조직 코니(Konni)의 공격을 포착했다. 표적은 한국에 정착한 탈북 청소년 전담 심리상담사와 탈북 학생이었다. 코니는 국세청을 사칭한 스피어피싱으로 피해자 PC에 침투했고, 이후 오랜 시간 잠복하며 시스템을 정찰하면서 피해자의 구글·네이버 계정 자격증명을 조용히 빼냈다.

결정적 공격은 피해자가 외출한 틈을 노렸다. 코니는 탈취한 구글 계정으로 분실 기기 찾기 서비스 ‘파인드 허브(Find Hub)’에 접속해 먼저 피해자의 위치를 확인했다. 자택이나 사무실 밖에 있다는 걸 확인하자, 스마트폰과 태블릿에 원격 초기화 명령을 반복 전송해 저장된 데이터를 모두 지웠다. 스마트폰이 먹통이 된 틈을 타 코니는 피해자의 카카오톡 PC 버전에 접속해 심리상담사인 피해자의 이름으로 탈북 학생들에게 ‘스트레스 해소 프로그램’을 가장한 악성파일을 뿌렸다. 지인들이 전화나 문자로 확인하려 해도 이미 초기화 중인 폰으로는 응답이 불가능했다. 신뢰 관계를 전파 수단으로 삼고 고립시켜 대응을 원천 차단한 것이다.

지니언스는 서면 답변을 통해 “개인 자체보다 연결된 네트워크가 주요 표적이었을 가능성을 배제할 수 없다”며 “특히 상담사의 경우 다수의 탈북민과 지속적으로 연락을 주고받기 때문에 위협행위자가 해당 계정을 확보하면 추가 공격 대상 발굴이나 사회관계망 분석이 가능해진다”고 설명했다.

이번 공격은 파인드 허브를 통한 위치 추적이 단순한 사이버 공격을 넘어 현실 세계의 추적이나 감시로 이어질 수 있다는 점에서도 주목된다. 지니언스는 “위협행위자가 계정 접근 권한을 지속적으로 유지하면 특정 인물의 이동 패턴과 활동 지역을 장기간 관찰할 수 있는 위험이 있었다”며 “사이버 공간에서 시작된 위협이 현실 세계의 사생활 감시나 추적 문제로 이어질 수 있다는 점을 보여준 사례”라고 경고했다.

원문 링크