Lazarus Operation FlashHole: 한국 타겟 사이버 스파이 캠페인
Dokebi · 2026년 10월 29일 · #tech #security #cti #apt #lazarus #north-korea #threat-intelligence
개요
북한 연계 해커 그룹 Lazarus가 한국의 소프트웨어, 건설, 통신장비 기업을 대상으로 한 Operation FlashHole 사이버 스파이 캠페인을 수행했습니다. 이 캠페인은 맞춤형 피싱 메시지와 가짜 포트폴리오 웹사이트를 통해 악성코드를 전달하며, 신뢰할 수 있는 금융 보안 소프트웨어를 악용하여 악성 컴포넌트를 실행합니다. 특히 포스트-퀀텀(Post-Quantum) 암호화를 사용한 것이 특징입니다.
위협 행위자 프로필
| 항목 | 내용 |
|---|---|
| 그룹명 | Lazarus (APT38, Hidden Cobra) |
| 소속 | 북한 정찰총국 (RGB) |
| 목적 | 사이버 스파이, 금융 탈취, 정보 수집 |
| 타겟 | 한국 소프트웨어, 건설, 통신장비 기업 |
| 캠페인명 | Operation FlashHole |
| 발견 | Kaspersky, Check Point Research, 2026년 10월 |
공격 체인 (Attack Chain)
- 정찰 (Reconnaissance): 타겟 기업의 인력, 조직 구조, 기술 스택 조사
- 초기 침투 (Initial Access): 맞춤형 피싱 이메일 전송 (타겟 개인화)
- 악성코드 전달: 가짜 포트폴리오 웹사이트를 통한 악성 파일 다운로드
- 신뢰 소프트웨어 악용: 합법적인 금융 보안 소프트웨어(CrossWeb EX)를 통한 악성 컴포넌트 실행
- 지속성 (Persistence): 시스템에 지속적 접근 유지
- 데이터 유출 (Exfiltration): 민감 정보 수집 및 C2 서버로 전송
핵심 기술: 신뢰 소프트웨어 악용
Operation FlashHole의 가장 주목할 만한 특징은 합법적인 금융 보안 소프트웨어를 악용한 것입니다:
- CrossWeb EX: 한국 금융기관에서 널리 사용되는 보안 소프트웨어
- 이 소프트웨어의 정상 프로세스(
fsquirt.exe)가 실행되고, 그 위에 셸코드가 인젝션됨 - 합법적인 소프트웨어가 악성 컴포넌트를 실행하므로, 보안 솔루션이 탐지하기 어려움
- 이 기법은 Living off the Land (LotL) 전술의 변형
포스트-퀀텀 암호화 사용
이 캠페인에서 Lazarus는 포스트-퀀텀(Post-Quantum) 암호화를 사용했습니다:
- 미래의 양자 컴퓨터 공격에 대비한 암호화
- 현재의 암호화 체계가 양자 컴퓨터에 의해 깨질 수 있다는 우려 반영
- 이는 Lazarus가 장기적 관점에서 작전을 계획하고 있음을 시사
- 암호화된 C2 통신으로 탐지 및 분석을 어렵게 만듦
타겟 산업
| 산업 | 타겟 이유 |
|---|---|
| 소프트웨어 | 소스 코드, 지적 재산, 공급망 접근 |
| 건설 | 인프라 프로젝트 정보, 기술 노하우 |
| 통신장비 | 네트워크 인프라, 통신 기술 |
MITRE ATT&CK 매핑
| 전술 | 기술 | ID |
|---|---|---|
| Reconnaissance | Gather Victim Identity Information | T1589 |
| Initial Access | Phishing (Spearphishing Link/Attachment) | T1566.001/002 |
| Execution | User Execution | T1204 |
| Defense Evasion | Process Injection | T1055 |
| Persistence | Boot or Logon Autostart Execution | T1547 |
| Collection | Data from Local System | T1005 |
| Exfiltration | Exfiltration Over C2 Channel | T1041 |
탐지 및 대응
탐지 지표
fsquirt.exe프로세스의 비정상적 네트워크 활동- 금융 보안 소프트웨어 디렉토리의 예상치 못한 파일
- 피싱 이메일의 맞춤형 내용 (타겟 개인화)
- 포트폴리오 웹사이트로의 의심스러운 아웃바운드 연결
대응 방안
- 금융 보안 소프트웨어 모니터링: CrossWeb EX 등 신뢰 소프트웨어의 무결성 검증
- 피싱 방어: 맞춤형 피싱에 대한 직원 교육, 이메일 필터링 강화
- 네트워크 세그멘테이션: 중요 인프라와 일반 업무 네트워크 분리
- EDR/XDR: 프로세스 인젝션 탐지 규칙 강화
- 위협 인텔리전스: Lazarus 그룹의 IOCs를 SIEM에 통합
결론
Operation FlashHole은 Lazarus 그룹이 한국 기업을 대상으로 한 정교한 사이버 스파이 캠페인입니다. 신뢰할 수 있는 금융 보안 소프트웨어를 악용하고 포스트-퀀텀 암호화를 사용하는 것은 이 그룹의 기술적 정교함과 장기적 전략을 보여줍니다. 한국 기업, 특히 소프트웨어, 건설, 통신장비 분야는 이 위협에 대한 방어 체계를 강화해야 합니다.
참고: Brandefense - Lazarus FlashHole, Infosecurity Magazine - Lazarus Group, Check Point Research - 26th October Threat Intelligence Report