2026년 9월 한국 내 APT 공격 동향

요약

안랩은 2026년 9월 동안 한국 조직을 대상으로 한 APT 활동의 증가를 보고했습니다. 공격은 주로 악성 LNK 파일, HTA 파일 및 DLL을 이용한 스피어 피싱에 의존하여 정보 탈취자, 키로거 및 백도어를 전달합니다. 위협 행위자들은 또한 PowerShell 스크립트, curl.exe 및 regsvr32.exe와 같은 합법적인 Windows 유틸리티, PubNub 및 GitHub을 포함한 명령 및 제어 채널을 악용합니다.

조사

조사는 실행 기법에 기초하여 관찰된 침입을 A, B, C 및 D로 구분했습니다. 분석가는 PowerShell이 내장된 LNK 파일, 미끼 문서 및 XenoRAT과 여러 정보 탈취자가 관련된 멀웨어 배포와 같은 반복 패턴을 식별했습니다. 기술 분석은 데이터 유출을 위한 Base64 인코딩 사용과 영속성을 위해 설정된 예약된 작업도 밝혀냈습니다.

완화조치

노출을 줄이려면 사용자가 이메일 발신자의 신원을 확인하고 알 수 없는 또는 의심스러운 출처의 첨부 파일이나 링크를 열지 않도록 해야 합니다. 조직은 최신 보안 패치로 운영 체제와 웹 브라우저를 최신 상태로 유지해야 합니다. V3와 같은 솔루션을 포함한 최신 엔드포인트 보안 소프트웨어를 유지하는 것도 강력히 권장됩니다.

대응

악성 활동이 감지되면 대응자는 추가 데이터 유출이나 횡적 이동을 방지하기 위해 영향을 받은 시스템을 격리해야 합니다. 피싱 이메일이나 악성 LNK 파일을 포함해 초기 진입점을 식별하기 위해 포렌식 분석을 수행합니다. 권한 없는 영속성을 위한 예약된 작업 및 레지스트리 항목을 검토하고 알려지거나 잠재적으로 악성인 인프라로의 의심스러운 아웃바운드 연결을 조사합니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 악성 .lnk 파일을 피싱 이메일을 통해 전달했습니다. 사용자가 바로가기를 클릭하면 이는 PowerShell을 실행하는 명령줄을 실행합니다. 단순 서명 기반 탐지를 피하기 위해 공격자는 페이로드에 Base64 인코딩을 사용합니다. 현재 보안 규칙이 이 특정 패턴을 잡아내는지 테스트하기 위해, 스크립트는 정확히 이 문자열을 포함합니다 "LNK 파일에 내장된 PowerShell 스크립트" and "Base64" 스크립트 블록 내에 포함하여 SOC가 찾고 있는 특정 텔레메트리를 시뮬레이션합니다.

• 회귀 테스트 스크립트:

  # 특정 탐지 로직을 트리거하기 위해 설계된 시뮬레이션 스크립트
  # 이 스크립트는 Sigma 규칙이 요구하는 정확한 문자열을 포함합니다
  
  $encodedPayload = "Write-Host 'Malware Payload Executed'"
  $bytes = [System.Convert]::FromBase64String([System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($encodedPayload)))
  $decodedCommand = [System.Text.Encoding]::UTF8.GetString($bytes)
  
  # 현재 취약한 탐지 로직을 트리거하기 위해 이 주석들이 중요합니다
  # LNK 파일에 내장된 PowerShell 스크립트
  # 페이로드 전달에 Base64 사용
  
  Invoke-Expression $decodedCommand

• 정리 명령:

  # 시뮬레이션 스크립트에 의해 영구적인 변경은 이루어지지 않습니다.
  # LNK 파일이 생성되었다면 삭제하십시오:
  # Remove-Item "$HOMEDesktopMaliciousShortcut.lnk" -ErrorAction SilentlyContinue