북한, 코딩 테스트로 3만 대 기기에 악성코드 유포

• 구직자는 회사 공식 채널과 정상적인 플랫폼을 통해서만 지원하는 편이 안전함

  • 공고가 의심스러우면 해당 회사에 직접 연락해 진위를 확인해야 함

  • 면접이나 코딩 테스트를 진행한다면 전용 격리 가상 머신을 마련해 잠재적 공격에 대한 보호 계층을 추가하는 것이 권장됨

• 북한 연계 사이버 조직 ‘WaterPlum’이 가짜 채용 공고와 코딩 테스트로 지원자 기기에 악성코드를 설치하고 있음

  • 일본·미국·호주·독일 보안 당국의 공동 권고문 PDF에 따르면 100개국에서 3만 대가 넘는 기기가 감염됨

    • 7,000개가 넘는 암호화폐 지갑이 침해돼 1,071만 달러의 손실이 발생함

    • 탈취한 암호화폐가 북한 정부로 흘러 들어간 것으로 추정됨

• 공격자는 정상적인 채용 담당자로 가장해 코딩 과제와 역량 평가용 테스트를 전달함

  • 과제 파일에는 피해자의 컴퓨터에 접근할 수 있는 악성코드가 숨겨진 경우가 많음

    • 설치된 지속형 원격 접근 트로이 목마(RAT)를 이용하면 면접이 끝난 뒤 수개월이 지나도 감염된 시스템에 접근 가능함

• 감염된 지원자 기기는 향후 입사할 회사나 고객사를 공격하는 발판으로 악용될 수 있음

  • 지원자가 다른 회사에 취업한 뒤에도 같은 컴퓨터를 사용할 가능성이 있기 때문임

    • 공격자는 이를 통해 새 회사의 시스템을 공격하거나 계정 정보를 훔칠 수 있음

• 가짜 채용 담당자는 소프트웨어 개발자와 IT 전문가를 주로 겨냥함

  • 정상적인 AI·암호화폐·NFT 회사의 이름을 도용해 매력적인 채용 공고를 내세움

    • 온라인 구인 플랫폼과 소셜 미디어, 긱 워크 플랫폼, 프리랜서 마켓플레이스에 공고를 게시함

  • 제재로 국제 경제에서 상당 부분 배제된 북한은 이런 수법과 가짜 IT 인력을 수익원으로 활용함

• 북한의 가짜 IT 인력이 정상 기업에 취업해 벌어들이는 돈은 연간 5억 달러에 이르는 것으로 알려짐

  • 공격 과정에서 빼낸 계정 정보와 개인정보는 이후 서방 기업의 채용 공고에 지원하는 데 재사용됨

    • 아마존은 2024년 4월부터 2025년 말까지 북한 연계가 의심되는 지원서 1,800건 이상을 차단함

^{source https://www.tomshardware.com/tech-industry/cyber-security/north-korea-used-job-interviews-to-deploy-malware...}