베이비샤크(BabyShark) 악성코드는 북한 국가 지원 해킹 조직과 연관된 비교적 최신 악성코드 계열입니다. 2019년 2월 팔로알토 네트웍스(Palo Alto Networks) Unit 42 연구진에 의해 처음 발견되었습니다.
사이버 보안 연구자들이 이 악성코드의 출처를 특정할 수 있었던 결정적인 이유는, 북한 특유의 스피어 피싱(표적형 피싱) 기법으로 유포되었기 때문입니다. 실제로 이번 사건에 사용된 피싱 이메일은 미국의 저명한 핵 전문가가 보낸 것처럼 정교하게 위장되어 있었으며, 메시지에는 해당 전문가의 이름과 북한 핵·미사일 프로그램이라는 민감한 주제가 담겨 있었습니다.
뿐만 아니라 이 악성코드가 김정은랫(KimJongRAT)과 STOLEN PENCIL 악성코드와 동일한 침투 기법을 사용한다는 점도 북한 해킹 그룹의 개입을 강력히 시사합니다. 두 악성코드 모두 북한과 연관된 것으로 알려져 있습니다.
베이비샤크 악성코드는 어떤 작업을 수행하나요?
베이비샤크 악성코드 감염의 첫 단계는 악성 MS 엑셀 파일에 포함된 마이크로소프트 비주얼 베이직(VB) 스크립트를 실행하는 것입니다.
VB 스크립트는 MS 워드와 엑셀용 매크로 코드를 활성화하여 레지스트리 키를 추가하고, 사용자 정보, 시스템 정보, 시스템 이름, IP 주소, 실행 중인 작업 및 해당 버전을 수집하는 명령을 내립니다.
수집된 정보는 certutil.exe라는 실행 파일을 이용해 암호화된 후 명령 제어(C&C) 서버로 전송됩니다. 초기 정보를 전송한 뒤에는 악성코드가 대기 상태에 들어가 C&C 서버의 추가 명령을 기다립니다.
이 악성코드 배후에 있는 위협 행위자들의 주요 목표는 동북아시아 국가 안보 관련 정보 수집으로 추정됩니다.
베이비샤크 악성코드 제거 방법
베이비샤크 악성코드는 MS 워드와 엑셀 파일을 통해 유포되지만, 그 자체는 파일리스(fileless) 악성코드입니다. 즉, 특정 폴더에 상주하지 않고 필요할 때마다 반복 실행될 수 있는 코드 형태로 존재합니다.
이러한 특성 때문에 대부분의 백신 소프트웨어로는 탐지하기가 매우 까다롭습니다. 다만 행동 모니터링, 애플리케이션 격리, 엔드포인트 강화에 중점을 둔 솔루션은 예외입니다. 이런 이유로 해당 기법들을 적극적으로 활용하는 Outbyte Anti-Malware 사용을 권장합니다.
백신 프로그램은 시스템을 심층 정화하여 악성코드를 제거하지만, 검사 전에 Windows 또는 Mac 장치를 '네트워킹 지원 안전 모드(Safe Mode with Networking)'로 부팅해야 합니다. 이렇게 하면 악성코드가 자동 시작 항목을 조작할 기회를 차단할 수 있습니다.
백신 검사가 완료된 후에는 PC 복구 도구를 활용해 바이러스가 잠복했을 가능성이 있는 오염된 다운로드 폴더와 임시 폴더를 청소해야 합니다.
PC 복구 도구는 손상된 레지스트리 항목 파일까지 함께 복구해 줍니다.
악성코드를 성공적으로 제거했다면, 이후에는 재감염을 막기 위한 예방 조치를 반드시 취해야 합니다.
베이비샤크 악성코드로부터 시스템 보호하기
컴퓨터를 베이비샤크 악성코드로부터 보호하는 가장 확실한 방법은 북한이 즐겨 사용하는 스피어 피싱 공격에 휘말리지 않도록 각별히 주의하는 것입니다. 이메일과 첨부 파일이 아무리 유혹적으로 보여도, 일부러 그렇게 설계되었다는 사실을 기억해야 합니다.
또한 언제든지 이메일의 진위 여부를 스스로 확인할 수 있습니다. 베이비샤크 사례를 생각해 보세요. 미국의 저명한 핵 전문가가 일반인에게 북한 관련 파일을 이메일로 공유할 가능성이 과연 얼마나 될까요? 보다시피 의심 하나면 충분합니다.
마지막으로, 강력한 백신 도구를 항상 컴퓨터에 설치해 두고 최대한 자주 기기를 검사하는 습관을 들이세요.