북한 해킹 그룹 WaterPlum, 전 세계 3만 대 기기 감염

미·일·호주·독일 당국의 공동 법 집행 경보에 따르면, 북한 해킹 그룹 WaterPlum은 2025년 12월부터 2026년 7월까지 전 세계 최소 3만 대의 기기를 침해하고, 1,071만 달러 이상의 암호화폐를 탈취해 북한으로 송금했습니다.

해당 수치는 위협 그룹의 활동을 공동으로 추적한 미국·일본·호주·독일 당국의 합동 권고문에서 나왔습니다.

WaterPlum은 "Contagious Interview"로 알려진 다년간의 캠페인과 연계되어 있으며, 이전에도 악성 npm 패키지가 포함된 프로젝트로 구직자의 기기를 악성코드에 감염시킨 바 있습니다.

공격자들은 합법적인 AI·암호화폐·NFT 기업으로 위장하거나, 채용 및 프리랜서 플랫폼을 통해 구직자에게 접근합니다.

가짜 면접과 코딩 테스트 과정에서 피해자들은 프로젝트를 다운로드하거나, 가상의 화상 회의 문제를 해결하거나, 악성 코드를 실행하도록 유도됩니다.

출처: FBI

WaterPlum은 정권을 위한 수익 창출과 무기 프로그램 자금 조달을 목적으로 금전적 동기의 공격을 수행하는 북한 위협 행위자 생태계의 일부입니다.

권고문은 다음과 같이 밝히고 있습니다: "WaterPlum 행위자들은 100개국 이상에서 최소 3만 대의 기기를 감염시키고, 7,000개 이상의 암호화폐 지갑에서 자금 또는 계정 자격 증명을 탈취했습니다."

"WaterPlum 행위자들은 17억 일본 엔(JPY)(미화 1,071만 달러 상당)에 달하는 암호화폐 자산을 조선민주주의인민공화국(DPRK)으로 이전했습니다."

권고문은 WaterPlum 작전과 연계된 여러 악성코드 패밀리를 다음과 같이 명시합니다:

1. BeaverTail: npm 패키지에 숨겨진 JavaScript 악성코드.
2. InvisibleFerret: Python 기반 백도어(원격 조종을 위한 숨겨진 통로).
3. OtterCookie: JavaScript 원격 접근 트로이목마(RAT) 겸 정보 탈취 악성코드.
4. OtterCandy: OtterCookie와 RAT 기능을 결합한 악성코드.
5. StoatWaffle: 악성 Visual Studio Code 프로젝트를 통해 배포되는 모듈형 Node.js 악성코드로, 폴더를 열고 신뢰할 때 코드를 실행하는 구성 파일을 사용합니다.

대상이 침해되면 공격자들은 브라우저 자격 증명, 클립보드 내용, 키 입력, 암호화폐 개인 키와 시드 구문, 문서를 탈취하려 하며 스크린샷도 캡처합니다.

또한 감염된 컴퓨터를 발판 삼아 피해자의 고용주나 클라이언트 네트워크로 침투를 확대하여 지식재산 탈취 및 스파이 활동으로 공격 범위를 넓힐 수 있습니다.

당국은 WaterPlum을 북한의 IT 위장 근로자 운영과도 직접 연결하며, 일부 WaterPlum 해커들이 클라이언트를 위한 웹 개발을 수행하는 원격 IT 근로자로도 활동하고 있으며 두 그룹이 동일한 IP 주소를 공유했다고 밝혔습니다.

또한 권고문은 북한 IT 위장 근로자들이 WaterPlum 공격에서 탈취한 신분증을 재활용해 피해자를 사칭하고 취업을 시도한다고 경고합니다.

수사관들은 WaterPlum 행위자들이 온라인 면접 중 AI 얼굴 변환 소프트웨어를 사용한 뒤 카메라를 끄고 네트워크 문제를 핑계로 댄다는 사실도 확인했습니다.

출처: FBI

FBI와 일본 경찰은 WaterPlum 행위자 및 일부 북한 IT 위장 근로자들이 북한 무기 연구·생산을 담당하는 군수공업부 산하 313총국 소속으로 활동하고 있다고 평가합니다.

일본 경찰청은 국내 최초로 북한 IT 위장 근로자 '노트북 팜'을 식별·수사·해체했으며, 수억 엔이 해외로 송금된 증거를 확인했다고 밝혔습니다.

권고문은 기업들에 구직 지원자의 신원·위치·자격을 철저히 검증하고, 업무 수행에 필요한 시스템과 데이터에만 접근을 제한할 것을 권고합니다.

개발자들은 샌드박스(격리된 실행 환경) 외부에서 출처 불명의 코드를 실행하지 말고, 제공된 파일과 코드에 추가 페이로드(악성 프로그램)를 내려받는 명령이 포함되어 있는지 검사해야 합니다.