FBI, 피해자 웹캠 녹화물 900개 넘게 압수…지인 사칭 통화에 재활용
핵심 요약
- 북한 해커가 가짜 줌·팀즈 통화에서 음성 문제 해결을 빌미로 악성코드를 설치해 18개월간 가상자산 4억 달러 넘게 훔쳤다. 오픈소스 유지관리자도 공격 대상이 됐다.
북한(North Korea) 국가 연계 해커들이 가짜 줌(Zoom)·팀즈(Teams) 통화를 이용해 지난 18개월 동안 가상자산 4억 달러 넘게 훔쳤다. FBI는 이 수법을 ‘FaceStealer’로 명명하고 11월 12일 가상자산·웹3 종사자와 오픈소스 유지관리자에게 경고했다. 피해자의 웹캠 영상을 다음 표적을 속이는 데 재활용하는 방식으로, FBI가 압수한 녹화물은 900개가 넘는다.
공격은 소프트웨어 공급망까지 겨냥했다. 올해 주요 오픈소스 JavaScript 라이브러리의 유지관리자는 아는 사람이 최소 한 명 등장하는 가짜 팀즈 통화에서 문제 해결 조치를 실행했다. 해커들은 탈취한 접근 권한으로 해당 라이브러리와 함께 내려받아지는 악성 의존성 패키지를 만들었다. 이 라이브러리는 주간 다운로드가 수천만 회에 이르지만 공격은 신속히 탐지돼 차단됐다. FBI는 npm 유지관리자와 최근에는 Rust 크레이트 유지관리자를 노린 시도도 확인했다.
해커들은 기존 피해자의 텔레그램(Telegram)·링크드인(LinkedIn)·슬랙(Slack)·디스코드(Discord) 계정을 탈취해 대화 기록을 읽고, 연락처에 있는 사람들에게 안부나 투자를 주제로 접근한다. Calendly 초대로 일정을 잡은 뒤 통화 직전에 uu01webzoom[.]us 같은 유사 도메인 링크를 보낸다. 통화에서는 지인의 녹화 영상을 다른 참가자 영상과 함께 재생하고, 채팅으로 목소리가 들리지 않는다며 업데이트나 스크립트 실행, 터미널 명령어 입력을 유도한다.
지시를 따르면 쿠키 수집 도구, 키로거, 화면 캡처 도구와 백도어가 설치된다. 웹캠 녹화는 링크를 누른 순간부터 시작돼 새 피해자가 다음 공격의 익숙한 얼굴로 쓰인다. 해커들이 지갑 잔액이 늘어나기를 몇 달에서 1년 넘게 기다렸다가 자산을 빼낸 사례도 있었다.
FBI는 이 활동을 Sapphire Sleet, BlueNoroff, APT38 등으로 추적되는 집단과 연관 지었다. 표적은 가상자산 지갑·시드 문구가 있거나 고용주의 네트워크·코드 저장소에 접근할 수 있는 컴퓨터다. 해커들은 유명 가상자산 인사의 공개 사진·영상으로 딥페이크도 만들기 시작했다. FBI는 “딥페이크의 품질은 웹캠 영상으로 보일 정도면 충분하다”고 썼다. 다만 이 수법에 쓰이는 영상의 압도적 다수는 실제 피해자에게서 훔친 녹화물이다.
FBI는 초대한 상대와 서로 보고 듣고 대화할 수 있는지 확인할 때까지 웹캠을 끄라고 권고했다. 초대 코드를 이용해 공식 줌·팀즈 앱으로 접속하고, 텔레그램으로 초대받았다면 전화 등 다른 경로로 만남을 확인해야 한다. 회의 앱 문제를 해결한다는 이유로 스크립트를 실행하거나 코드를 붙여 넣어서는 안 된다.
브라우저 확장 프로그램 지갑에는 소액만 보관하고, 기기에 복구 문구나 개인 키를 저장하지 말라는 당부도 나왔다. 시드 문구를 복사한 공격자는 원하는 때 지갑 자산을 빼낼 수 있다. 침해가 의심되면 감염되지 않은 기기에서 새 지갑을 만들고 자산 전부를 옮기라고 FBI는 권고했다.
