사이버 보안 기업 카스퍼스키(Kaspersky)의 연구원들은 북한 해킹 그룹인 Lazarus Group의 소행으로 추정되는 FlashHole이라는 사이버 공격 캠페인에서 전례 없는 정교한 기술적 방식을 포착했습니다. 이 캠페인은 한국의 기관들을 표적으로 삼고 있으며, 공격자들은 명령 및 제어(C2) 서버와의 통신을 보호하기 위해 ML-KEM(이전 명칭 Kyber) 표준 암호화 알고리즘을 사용합니다.
복잡한 공격 메커니즘
이 캠페인은 피싱 페이지를 통해 피해자를 특별히 준비된 GitHub 저장소로 유도하는 복잡한 감염 체인을 기반으로 합니다. 이 페이지들은 JavaScript 코드를 로드하여 장치 메모리 내에서 일련의 명령을 실행하며, 한국에서 널리 사용되는 보안 도구인 INISAFE CrossWeb EX의 취약점을 악용합니다. 이 도구를 통해 합법적인 윈도우 시스템 파일(fsquirt.exe)이 실행되어 TechHub라는 다운로더를 설치하며, 이는 별도의 GitHub 저장소에서 추가 악성코드를 가져오는 역할을 합니다.
이 뉴스가 중요한 이유
악성코드 공격에 양자 내성 암호화(Post-Quantum Cryptography)를 사용하는 것은 주목할 만한 발전입니다. ML-KEM과 같은 표준은 '지금 가로채고 나중에 해독하는' 공격으로부터 데이터를 보호하기 위해 설계되었지만, 공격자들은 이 기술을 악용하여 보안 모니터링 시스템으로부터 악성 페이로드를 숨겼습니다. 악성 프로그램인 LPEClient는 공격자의 서버와 공개 키를 교환하여 공유 키를 생성함으로써, 들어오는 페이로드를 안전하고 은밀하게 해독할 수 있게 합니다.
Lazarus의 추가 도구
고급 암호화 외에도 이 캠페인은 다음과 같은 도구들을 사용합니다:
- ClientHub: Dropbox 서비스를 통한 통신과 LPEClient와의 직접적인 데이터 교환을 지원하는 로더 도구입니다.
- Cubridge: 파일 관리, 명령 실행, 정찰 및 스크린샷 캡처 기능을 제공하는 모듈형 백도어(Backdoor)입니다.
- 데이터 탈취 도구: Chromium 기반 웹 브라우저를 표적으로 삼아 자격 증명, 쿠키, 브라우징 기록을 훔치는 소프트웨어입니다.
분석에 따르면 이 작전에서 Lazarus의 코드 대부분은 디지털 흔적을 최소화하기 위해 메모리 내(In-memory)에서 작동하지만, 피해자의 하드 드라이브에 파일을 남기는 일부 지속성 메커니즘도 존재합니다. 카스퍼스키는 이 작전을 Cascade Hole로 알려진 더 광범위한 활동과 연결하며, 이는 해당 그룹이 기존 보안 방어를 우회하기 위해 전술을 지속적으로 발전시키고 있음을 확인시켜 줍니다.