“北 연계 해킹조직, 정상 SW에 악성코드 심고 개발도구로 원격제어” [APAC CSW 2026] 작성일 08-03 35 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">블루노로프, 액시오스 공급망 공격 연계 정황 <br>킴수키는 VS코드 원격 터널 악용</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fZOsnyWIJH"> <p contents-hash="cd95df2381b945b28cf6f5cb43d34000de3be5a6e60231f59d6c20d5ae1925e2" dmcf-pid="45IOLWYCRG" dmcf-ptype="general">북한 연계 해킹조직들이 정상 소프트웨어와 개발 도구를 공격 통로로 악용하는 정황이 잇따라 확인됐다. 널리 쓰이는 소프트웨어 패키지에 악성코드를 심어 유포하거나, 개발 도구의 정상 기능을 이용해 피해 기기에 원격 접속하는 방식이다.</p> <div contents-hash="a9ea319bf2407b4fc1166aecd6c407d0efce411e3d4159b4d147a1a364155244" dmcf-pid="81CIoYGhLY" dmcf-ptype="general"> 라자루스(Lazarus)의 금전 목적 하위 조직으로 알려진 블루노로프(BlueNoroff)는 금융·가상자산 분야를 노렸고, 잘 알려진 킴수키(Kimsuky)는 한국 공공·민간기관을 겨냥했다. 주요 표적은 달랐지만, 신뢰받는 소프트웨어와 서비스에 악성 행위를 숨겼다는 공통점이 있는 것으로 분석됐다. </div> <figure class="figure_frm origin_fig" contents-hash="c49db9c95aaff3f854d0de65387686c8639ff5d2ac47cb826a48f73901772dbf" data-idxno="449215" data-type="photo" dmcf-pid="6thCgGHlLW" dmcf-ptype="figure"> <p class="link_figure"><img alt="세르게이 로즈킨(Sergey Lozhkin) 카스퍼스키 글로벌 리서치·분석팀(Global Research and Analysis Team·GReAT) 총괄 / 광저우(중국)=정종길 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/03/552810-SDi8XcZ/20260803142933504eutt.jpg" data-org-width="1280" dmcf-mid="Va295xMViX" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/03/552810-SDi8XcZ/20260803142933504eutt.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 세르게이 로즈킨(Sergey Lozhkin) 카스퍼스키 글로벌 리서치·분석팀(Global Research and Analysis Team·GReAT) 총괄 / 광저우(중국)=정종길 기자 </figcaption> </figure> <p contents-hash="e31d898d71c00467ba36d9c7b31deee7e95593514d2f8c95a976f545815737e4" dmcf-pid="PFlhaHXSMy" dmcf-ptype="general">세르게이 로즈킨(Sergey Lozhkin) 카스퍼스키 글로벌 리서치·분석팀(Global Research and Analysis Team·GReAT) 총괄은 3일 중국 광저우에서 열린 'APAC 사이버보안 위켄드(CSW) 2026'에서 글로벌 공격 조직들의 주요 공격 사례를 소개하며 이같이 밝혔다.</p> <p contents-hash="f31dbdf5b294db4d5d7fcf55160e42514de249b57482f6b7f0d9d7e2c2e17802" dmcf-pid="Q3SlNXZvLT" dmcf-ptype="general">카스퍼스키는 매년 아시아태평양(APAC) 지역 언론과 자사 임원이 참여하는 CSW를 열고 글로벌 사이버 위협 동향과 대응 방안을 공유한다. 로즈킨 총괄은 APAC과 중동·튀르키예·아프리카(META) 지역을 담당하고 있다.</p> <p contents-hash="51e2542d00125712f379cbafb8d7e66e64ec4a5951eecbbc504671a3bd659187" dmcf-pid="xzGYD30HMv" dmcf-ptype="general">로즈킨 총괄은 이날 카스퍼스키가 자바스크립트 라이브러리 '액시오스(Axios)'를 노린 공급망 공격에서 블루노로프의 기존 공격과 유사한 흔적을 발견한 사례를 소개했다. 액시오스는 웹사이트나 애플리케이션이 서버와 데이터를 주고받을 때 사용하는 소프트웨어 구성요소다. 패키지 저장소 npm에서 매주 1억회 넘게 내려받을 정도로 쓰인다.</p> <p contents-hash="b4677bf8c8d98a0155e3c3fdfe8826ffc14de4b4d0945cac5cf0100c17b824c0" dmcf-pid="yEeRqaNdeS" dmcf-ptype="general">공격자는 지난 3월 액시오스 핵심 관리자의 npm 계정을 탈취해 악성 버전의 패키지를 등록했다. 이 패키지에는 '플레인-크립토-js(plain-crypto-js)'라는 숨겨진 구성요소가 포함돼 있었다. 사용자가 변조된 액시오스를 설치하면 숨겨진 구성요소가 작동해 원격접근트로이목마(Remote Access Trojan·RAT)를 내려받았다. RAT는 공격자가 감염된 기기의 파일을 빼내거나 명령을 실행할 수 있게 하는 악성코드다. 이번 공격은 윈도와 맥OS, 리눅스 기기를 모두 겨냥했다.</p> <p contents-hash="e004906a54af49477f308e2a91c9a17ad3811b35ce51e10a87886a504678594a" dmcf-pid="WDdeBNjJil" dmcf-ptype="general">카스퍼스키는 이 공격에서 블루노로프의 기존 캠페인인 '고스트콜(GhostCall)'·'고스트하이어(GhostHire)'와 겹치는 특징을 확인했다. 통신에 사용한 유저 에이전트와 'webT'라는 모듈 이름, 3개 운영체제를 함께 노린 방식이 유사했다. 새로운 '사이폰V2(SyphonV2)' 로더와 일부 공격 인프라도 공통으로 발견됐다. 로즈킨 총괄은 이를 근거로 블루노로프와의 연계 가능성이 높다고 밝혔다. 다만 증명의 한계로 공격 주체를 완전히 확정하지는 않았다.</p> <p contents-hash="c9649afcde957001823a4b1b461f9ce2cadfef0980619c8c439c67a05deeec4b" dmcf-pid="YwJdbjAiJh" dmcf-ptype="general">이어 그는 북한 연계 조직으로 널리 알려진 킴수키 사례를 소개했다. 킴수키는 침투 이후 정상 개발 도구를 원격제어에 활용했다. 로즈킨 총괄은 한국의 공공·민간기관을 노린 킴수키가 비주얼 스튜디오 코드(Visual Studio Code·VS Code)를 원격제어에 이용했다고 설명했다. VS코드는 개발자가 프로그램 코드를 작성하고 관리할 때 사용하는 마이크로소프트의 개발 도구다.</p> <p contents-hash="f36205e55606bff8a3c2d4efa0c3afeef0052791472ccc1aa989eba261fd8357" dmcf-pid="GriJKAcnJC" dmcf-ptype="general">킴수키는 침투한 기기에서 VS코드의 리모트 터널 기능을 실행한 뒤 공격자의 깃허브 계정으로 인증했다. 이를 통해 웹브라우저나 VS코드에서 피해 기기의 파일을 열어보고 명령을 실행할 수 있었다. VS코드를 이용한 통신은 마이크로소프트의 정상 서버를 거친다. 보안 시스템에는 개발자가 VS코드와 클라우드 서비스를 이용하는 것처럼 보일 수 있어 별도의 악성 명령제어(C2) 서버를 이용할 때보다 탐지가 어렵다.</p> <p contents-hash="f23ca3fb904758f6700fabe9f25bbe8aae6401cad694a8ab99334492be38baf5" dmcf-pid="Hmni9ckLMI" dmcf-ptype="general">액시오스 공격은 악성코드 유포 과정에서, 킴수키는 침투 후 원격접속 과정에서 각각 정상 기술을 악용했다는 공통점이 있다. 이용자가 신뢰하는 소프트웨어와 서비스 안에 악성 행위를 숨겨 탐지를 피한 것이다.</p> <p contents-hash="fb4466d0ce8cbcd839e341c117ca16402f1211a5a8f6b40bbfd42516b0cf6e5f" dmcf-pid="XsLn2kEoMO" dmcf-ptype="general">더불어 킴수키의 이번 공격은 정상 도구를 악용하는 동시에 자체 공격 도구의 개발 방식을 다변화한 사례로도 분석된다. 카스퍼스키는 킴수키가 악성코드 개발에 거대언어모델(LLM)을 사용한 흔적과, 기존 악성코드 '페블대시(PebbleDash)'를 러스트(Rust) 언어로 재작성한 첫 변종인 '헬로도어(HelloDoor)'를 확인했다고 밝혔다. 러스트로 만든 악성코드는 기존 C·C++ 기반 악성코드보다 분석과 탐지가 까다로운 경우가 있다.</p> <p contents-hash="faa25bbbbf258c929d39a9846cc4426f072eb4e08ddbf703a63b6af94528187f" dmcf-pid="ZOoLVEDgJs" dmcf-ptype="general">이들 사례에 대한 교훈으로 카스퍼스키는 신뢰하는 사람에게서 온 파일이나 링크라도 다른 연락 수단으로 발신자의 신원을 재확인하고 주소가 공식 도메인인지 살펴야 한다고 권고했다. 오류 해결이나 프로그램 설치를 이유로 출처가 확인되지 않은 스크립트와 명령어를 실행해서도 안 된다고 강조했다.</p> <p contents-hash="9c4d6b99052f187193f5b7210ec881253d5f134a6f5b8d3b3035139af6f95924" dmcf-pid="5IgofDwaJm" dmcf-ptype="general">기업에는 엔드포인트 탐지·대응(EDR)과 확장형 탐지·대응(XDR) 솔루션을 이용해 단말과 네트워크의 이상 행위를 지속해서 점검할 것을 주문했다. 자체 보안 인력이 부족한 조직은 관리형 탐지·대응(MDR)과 침해사고 대응 서비스를 활용하고, 최신 위협정보를 바탕으로 정상 프로그램과 서비스에서 발생하는 수상한 활동까지 살펴야 한다고 덧붙였다.</p> <p contents-hash="9192eefab0aec5d706541ffc8900066fac52dc875654c25f4f62efcd2d096aa3" dmcf-pid="1Cag4wrNJr" dmcf-ptype="general">로즈킨 총괄은 "공격자가 악성 통신을 정상 서비스 안에 숨기면 네트워크에서 탐지하기가 훨씬 어려워진다"며 "보안 기업도 이에 맞춰 탐지와 분석 방법을 바꿔야 한다"고 말했다.</p> <p contents-hash="bfae54ff230538145f8fbca257451e18c72043cce139e5b13520c727cc48b462" dmcf-pid="thNa8rmjRw" dmcf-ptype="general">광저우(중국)=정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 '바리스타 깜짝 변신' 이상현 AG 단장, 선수들에게 커피차 이벤트 '사기 충전' 08-03 다음 삼성·SK·마이크론의 '메모리 5년 계약' 시대의 다른 셈 법 08-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
