"채용 제안인 줄 알았는데"…北 추정 해커, 취약점 뚫어 방산업 맹공 작성일 08-14 32 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="768AjvfzWG"> <figure class="figure_frm origin_fig" contents-hash="b39548b4b3b6677acec4a3e3c67ed7fcbf465eca8a5705c85a417482a9b51e54" dmcf-pid="zP6cAT4qSY" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/14/552796-pzfp7fF/20260814130258976dmpm.jpg" data-org-width="640" dmcf-mid="u68AjvfzvH" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/14/552796-pzfp7fF/20260814130258976dmpm.jpg" width="658"></p> </figure> <p contents-hash="0c1c816e1fca74c039e96890386e2d891698fc6c07b29a386180e94060ee91fb" dmcf-pid="qQPkcy8BvW" dmcf-ptype="general">[디지털데일리 김보민기자] 북한 해킹조직 라자루스가 가짜 채용 제안과 제로데이 취약점을 악용해 사이버 공격을 고도화하고 있다는 분석이 나왔다.</p> <p contents-hash="01ea0f70d9dbdc7059df2d6afdddca59f280e1c1dcc2b3eabba12997c15f6154" dmcf-pid="BxQEkW6bWy" dmcf-ptype="general"><strong>◆ 구직 제안 미끼로 침투…제로데이 취약점 악용</strong></p> <p contents-hash="1a7710826b873d9e5b1467ef722990c359b05f8ddfdec900bc85f8aae43c0bc6" dmcf-pid="bMxDEYPKlT" dmcf-ptype="general">14일 글로벌 보안기업 연구 조직 체크포인트리서치에 따르면 북한 라자루스로 추정되는 해킹 조직은 글로벌 방산업을 표적으로 '오퍼레이션 드림 잡(Operation Dream Job)' 캠페인을 전개하고 있다. 공격은 서유럽, 인도, 남미 방산업과 항공우주 산업 기업에 집중됐다. 공격자는 마이크로소프트 제로데이 취약점(CVE-2026-68820)을 악용했고, 조작된 PDF 뷰어를 배포해 신종 백도어를 실행한 것으로 확인됐다. 마이크로소프트는 해당 취약점을 8월 보안 업데이트에 포함해 패치했다.</p> <p contents-hash="fb57a4e710202ddda09e506fdd7f4baae9533be297fbbc336c43fe75f8d77676" dmcf-pid="KRMwDGQ9lv" dmcf-ptype="general">캠페인은 방위, 항공우주 산업 분야 기업 채용 기회를 빌미로 한 스피어피싱으로 시작된다. 공격자는 채용 담당자로 위장해 링크드인 등 전문 네트워킹 플랫폼이나 메시징 애플리케이션을 통해 피해자에게 접근했다. 이후 피해자에게 악성 파일을 다운로드하도록 유도했다.</p> <p contents-hash="d439505abae7c14e85ae807ccbda8b2171e7852becfb31f5b76a06107edf211e" dmcf-pid="9iJOs5e4WS" dmcf-ptype="general">공격은 두 가지 감염 방식을 병행했다. 첫 번째는 '동적링크라이브러리(DLL) 사이드로딩'을 활용한 방식이다. 피해자가 PDF 뷰어 실행 파일을 실행하면 악성 DLL이 로드된다. 록히드 마틴 채용 설명 PDF 문서를 보여주면서 메모리 내에서 'MISTPEN' 다운로더를 실행한다. MISTPEN은 시스템 정보를 수집하는 정찰 모듈과 시스템 재부팅 후 자동 실행을 보장하는 지속성 모듈을 로드한다. 이후 마이크로소프트 제로데이 취약점을 악용하는 로컬 권한 상승(LPE) 모듈을 실행한다.</p> <p contents-hash="3f2d41c92333a31d65361ccdfc7d96eb71377c7ff72e7777ce4ad008df1c5856" dmcf-pid="2niIO1d8hl" dmcf-ptype="general">체크포인트리서치에 따르면 해당 취약점은 소켓 생성 시 발생하는 경쟁 조건을 이용해 메모리 손상을 유발한다. 시스템 권한을 획득하고 커널 모드 루트킷의 최신 버전을 배포한다. 이후 백도어를 심어 장기 원격 접속 권한을 확보한 것으로 확인됐다.</p> <p contents-hash="7e46d2b19d4979128b8ac846fadfcd261d2592b335ed46ddb2576da05bef8085" dmcf-pid="VLnCItJ6Th" dmcf-ptype="general">조작된 PDF 뷰어를 배포한 정황도 확인됐다. 공격자는 사칭 웹사이트와 검색 엔진 최적화(SEO) 기술을 활용해 피싱 탐지를 우회했다. 이 과정에서 체크포인트리서치는 '시큐리티PDF(SecurityPDF)'와 'MuPDF' 프레임워크 기반 오픈 소스 뷰어를 변조한 프로그램을 발견했다. 사용자가 악성 PDF 문서를 열면 암호화된 페이로드가 단일 바이트 키로 복호화 및 실행되며 신종 백도어 '트로이(Troy)'를 설치한다.</p> <p contents-hash="bd04a054ae506482bd7a4f86ae21846f1547d278d5fb110e7293626fb60ba4a2" dmcf-pid="foLhCFiPvC" dmcf-ptype="general">트로이 백도어는 HTTP 연결을 설정해 '연결(CONNECTED)' 응답이 확인되면 사용자 프로필, 계정 이름, 윈도 버전 등 호스트 정보를 수집해 명령및제어(C2) 서버에 전송했다. 파일 작업, 명령 실행, 인메모리 코드 전달 등 17개 운영자 명령을 지원해 포스트 익스플로잇 기능을 수행할 기반도 마련한 것으로 나타났다.</p> <p contents-hash="93244628c4fd9520586cb4af37b670f6ec23495c19b7f0f83d843931746c6501" dmcf-pid="4golh3nQyI" dmcf-ptype="general">◆ <strong>방어 전략 수립 시급…합법적 웹 인프라 악용 탐지 회피</strong></p> <p contents-hash="05cd4a35ae2691e354d5489f138fb3e8395e6a806120ff68b985d3faccfcb6a6" dmcf-pid="8agSl0LxTO" dmcf-ptype="general">체크포인트리서치는 이번 오퍼레이션 드림 잡 캠페인을 두고 라자루스가 멀웨어 기능과 작전 수행 방식을 진화시켰다고 분석했다. 제로데이 취약점을 악용하기 위해 새 버전을 배포하는 것을 넘어 표적 스피어 피싱, 사칭 웹사이트, 검색 엔진 최적화를 결합해 트로이 목마화된 소프트웨어를 유포하며 초기 침투 방식을 고도화했다는 취지다.</p> <p contents-hash="c8f7ad3940d59fcb6ba4c780c0a126ad769aa61d66d910a3bd6e45cd0824041f" dmcf-pid="6NavSpoMvs" dmcf-ptype="general">C2 인프라로 손상된 인스턴스와 콘텐츠관리시스템(CMS) 서버를 선택한 점도 특징으로 꼽았다. 방위 산업 환경은 조직 보안 팀과 국가 사이버 보안 당국 감시를 받는다. 공격자는 합법적인 웹 인프라를 악용해 정상 네트워크 트래픽에 악성 통신을 섞어 탐지를 회피했다. 공유 가상사설망(VPN) 서비스를 통해 접속해 인프라 출처를 숨긴 정황도 확인됐다.</p> <p contents-hash="7d245cb101e5be8a38a1760a12d37e1b6becc026c778045a7d2ac8f5c4260a03" dmcf-pid="PjNTvUgRym" dmcf-ptype="general">체크포인트리서치는 라자루스가 새로운 배포 기술, 모듈식 멀웨어, 제로데이 익스플로잇, 손상된 웹 인프라를 결합해 공격을 전개하며 복원력을 높였다고 평가했다. 이어 "이번 조사를 바탕으로 향후 발생할 오퍼레이션 드림 잡 캠페인을 식별하고 탐지하며 공격을 차단해야 한다"고 강조했다.</p> <p contents-hash="5c2a7165c6792dcb4e3c51bf197cd139c4bbb150df53cea8bb5eb43d940aeae9" dmcf-pid="QAjyTuaeCr" dmcf-ptype="general">한편 미국의소리(VOA)는 14일 미 사이버보안 당국이 실제 공격에 악용되는 윈도 보안 결함을 발견하고 연방기관에 배치 적용과 긴급 조치를 명령했다고 보도했다. 미 사이버보안·인프라보안국(CISA)은 공격 배후를 언급하지 않았지만, 해당 결함이 실제 악용되고 있다고 인정했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 AI 만들고 쓸때 지켜야할 AI윤리 8월 나온다…규제 아닌 자율규범 08-14 다음 AI윤리원칙 두고 “사전규제vs완충제”…업계·정부 미묘한 시각차 08-14 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
