팔로우 Kimsuky 탐지는 단순히 해시를 일치시키는 것이 아니라, 그룹의 수법을 자신의 텔레메트리에서 인식하는 것에 달려 있습니다. Kimsuky는 북한의 APT 그룹으로, 발표된 캠페인 중 하나는 외교관을 사칭하여 LNK 파일과 PowerShell 드로퍼를 전달합니다. 이러한 기술은 일반적인 Windows 보안 로그에서 흔적을 남깁니다: 사용자 쓰기 가능한 폴더에서 실행된 스크립트 호스트, 숨겨진 PowerShell, 새로운 서비스 및 예약된 작업, 조용한 계정 변경 등이 그것입니다.
이 기사는 LogTotal에서 분석한 로그 샘플을 사용하여 Kimsuky 탐지를 다룹니다. LogTotal은 알려진 위협과 이벤트를 일치시키는 로그 분석 도구입니다. 아래에서는 로그의 출처, LogTotal이 보고한 내용, 원시 이벤트에 대한 결과의 타당성, 그리고 이에 대한 대응 방법을 설명합니다.
Kimsuky 분석
이 샘플의 수법은 그룹의 배경과 최근 캠페인과 비교할 때 더 명확하게 보입니다. 따라서 로그로 넘어가기 전에 그 부분을 먼저 다룹니다.
Kimsuky란 누구인가
Kimsuky는 정보 수집에 집중하는 북한의 국가 후원 APT 그룹입니다. MITRE ATT&CK에서는 이를 G0094로 추적하며, 벤더들은 APT43, Velvet Chollima, Black Banshee, THALLIUM, Emerald Sleet, TA427, 그리고 Springtail이라고도 부릅니다. 그 활동은 북한의 정찰총국과 일치하는 것으로 믿어집니다.
CISA는 이 그룹이 2012년부터 운영되었을 가능성이 높다고 평가합니다. 첫 번째 상세한 공개 보고서는 2013년 카스퍼스키의 “Kimsuky 작전”이었으며, 이름은 카스퍼스키 연구원이 발견한 내부 코드 참조에서 나왔습니다.
대부분의 Kimsuky 운영은 한국을 공격했으며, 미국, 일본, 유럽 및 러시아에도 도달했습니다. 정부 및 정책 목표 외에도 피해자에는 학자와 암호화폐 부문이 포함됩니다. 스피어 피싱은 가장 많이 관찰된 진입점입니다.
2026년 Kimsuky 활동
| 기간 (2026) | 캠페인 | 수법 |
| 10월 | GitPower 작전 확대 (Genians) | 우크라이나 외교 및 안보 전문가를 타겟으로 한 가짜 Zoom 설치 프로그램 및 PDF 테마의 LNK 파일; 숨겨진 PowerShell; 예약된 작업 지속성 |
| 진행 중 | GitPower 작전 | 문서처럼 보이는 LNK 파일이 포함된 ZIP 아카이브, 대사관 서신 포함; 난독화된 PowerShell; GitHub를 스테이징 및 C2용으로 사용 |
| 3월–4월 | HTTPSpy 변종 (ENKI) | 한국 군 및 기업 대상으로 한 보안 소프트웨어 설치 페이지 및 가짜 Cisco Webex 페이지를 위조 |
| 2025년부터 2026년 초까지 | 그룹웨어 벤더의 손상 (ENKI WhiteHat) | 한국 협업 소프트웨어 벤더와 그 고객을 침입 |
여기서 분석된 샘플은 이 기간 내, 2026년 9월 21일의 것입니다. 점이 패드된 PDF 테마의 LNK, 숨겨진 PowerShell, 로그온 트리거가 설정된 예약 작업은 이 캠페인과 밀접하게 일치합니다.
로그 샘플
샘플은 Kimsuky.jsonl이라는 단일 파일로, 한 도메인 컨트롤러로부터 3,087개의 이벤트를 포함하고 있습니다. Kimsuky 스타일의 수법이 DC에 대해 제어된 에뮬레이션으로 실행된 것을 보여 주며, 이는 이 활동이 네이티브 Windows 감사 텔레메트리에서 어떻게 보이는지 참조할 수 있는 유용한 자료입니다.
로그 소스 및 수집
| 속성 | 값 |
| 파일 | Kimsuky.jsonl |
| 이벤트 | 3,087 |
| 호스트 | srv-ad-001.7logs.xyz, 7logs 도메인의 도메인 컨트롤러 |
| 시간 창 | 21 September 2026, 15:02:41부터 15:05:58 UTC까지 (3분 조금 넘는 시간) |
| 형식 | JSON의 네이티브 EVTX 구조 (Event → System / EventData, #attributes 하의 XML 속성) |
JSON 레이아웃은 SIEM-정규화된 내보내기보다는 EVTX-JSON 변환을 가리킵니다.
이벤트에 포함된 내용
대부분의 이벤트는 객체 및 핸들 감사 (4658, 4656, 4663, 4690), 토큰 권한 조정 (4703), 그리고 파일 공유 액세스 (5145)입니다. 이는 고용량이며 대부분의 경우 배경 노이즈입니다.
탐지와 관련된 이벤트는 훨씬 적습니다:
- 49개의 프로세스 생성 (4688)과 전체 명령줄
- 계정 및 그룹 관리 (4720–4738)
- 서비스 설치 (4697)
- 예약 작업 수명 주기: 생성, 업데이트, 삭제 (4698, 4702, 4699)
- Active Directory 객체 변경 (5136)
- 감사 정책 변경 (4719)
공격 컨텍스트: 에뮬레이션, 생생한 침입 아님
활동은 Kimsuky 수법의 명백한 에뮬레이션입니다. 모든 공격자 명령은 powershell_ise.exe를 부모 프로세스로 가지고 있습니다. 객체는 OrbitalTestSvc, adminuserz, 그리고 비밀번호 !BackdoorPass1 등의 테스트 이름을 가지고 있습니다. 마지막에 운영자는 서비스, 작업, 사용자 및 그룹을 제거합니다.
기술들 자체는 그룹이 외교관을 사칭하고 LNK 파일과 PowerShell 드로퍼를 전달하는 발표된 Kimsuky 캠페인을 반영합니다. 그래서 이 텔레메트리가 가치가 있는 것입니다: 비록 운영자는 아닐지라도 행동양식은 실제이기 때문입니다.
Kimsuky 탐지를 위한 방법
LogTotal은 16.4초 만에 3,087줄을 처리하고 73개의 규칙을 105줄에 대해 일치시켰습니다. 그것은 그 일치를 한 호스트에 대한 9개의 공격 체인으로 그룹화하고, 8개를 보고하고, AI 검증 단계에서 1개를 필터링했습니다.
| 판결 필드 | 결과 |
| 판결 | 의심스러우며 조사 필요 |
| 심각도 | 중요함 |
| 신뢰도 | 중간 |
LogTotal의 규칙이 원시 Kimsuky 증거에 어떻게 맵핑되는지
| 발사된 규칙 | 원시 증거 |
| 공용 사용자 프로필에서 의심스러운 실행; 의심스러운 폴더에서 스크립트 해석기 실행 | PDF로 가장한 LNK, 점 패드된 이름 (vvn.31.Pdf……Lnk); C:UsersPublicDownloads에서 wscript.exe로 실행되는 DefenderUpdate.Js |
| 숨겨진 PowerShell 명령 줄을 통한 실행 가능성 | powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File …capture.Ps1 |
| LOLBAS MSHTA 방어 회피 동작 의심 | mshta.exe가 %TEMP%D.21_SEOUL.hta 실행 |
| 비일상적 경로에서의 시스템 프로세스 실행 | PublicDownloadssystem32 아래의 가짜 smss.Exe |
| Net.EXE를 통한 기본 계정 의심 조작; Reg에 의심스러운 경로 추가 | net user administrator /active:yes; WinlogonSpecialAccountsUserList를 통해 Administrator 숨김 |
| PowerShell 스크립트가 서비스로 설치됨; 서비스 파일 경로에 명시적인 COMSPEC 사용 | 서비스 OrbitalTestSvc가 숨겨진 PowerShell 실행 |
| 의심스러운 예약 작업 (감사를 통해) | 로그온-트리거된 작업 OrbitalHealthCheck가 svc_update.ps1를 숨김으로 실행 |
| Net 명령을 통해 ‘Admin’ 지역 사용자를 의심스럽게 생성; 사용자 명령줄을 통해 그룹에 추가 | adminuserz 생성 후 새 그룹 admingroupz에 추가됨 |
| 이벤트 로그 제거 (기본); 보안 이벤트 로그 제거 | 관리자가 15:02:41 UTC에 이벤트 1102 |
이 샘플에서 Kimsuky IOCs 및 아티팩트
아래 아티팩트는 에뮬레이션에서 나온 것이므로, 이름 자체는 실제에서 재현되지 않을 것입니다. 그 패턴이 어떤 것을 찾을지에 대한 것입니다.
| 아티팩트 | 유형 | 찾을 패턴 |
| vvn.31.Pdf……Lnk | LNK 루어 | 점 패드된 이름을 가진 문서처럼 보이는 바로가기 파일 |
| C:UsersPublicDownloadsDefenderUpdate.Js | wscript.exe가 실행한 JScript | 사용자 쓰기 가능한 폴더에서 실행된 스크립트 호스트 |
| capture.Ps1 | PowerShell 스크립트 | -ExecutionPolicy Bypass -WindowStyle Hidden |
| %TEMP%D.21_SEOUL.hta | mshta.exe가 실행한 HTA | %TEMP%에서 파일을 실행하는 MSHTA |
| PublicDownloadssystem32smss.Exe | 가짜 바이너리 | System32 외부의 시스템 프로세스 이름 |
| OrbitalTestSvc | 서비스 (4697) | COMSPEC을 통해 숨겨진 PowerShell을 실행하는 서비스 |
| OrbitalHealthCheck → svc_update.ps1 | 예약된 작업 (4698) | 로그온-트리거된 작업이 숨겨진 스크립트를 실행 |
| adminuserz, admingroupz, !BackdoorPass1 | 계정, 그룹, 비밀번호 | Net.exe를 통해 생성된 새 관리자 계정 및 그룹 |
| WinlogonSpecialAccountsUserList | 레지스트리 값 | 로그온 화면에서 숨겨진 계정 |
| 이벤트 1102 | 로그 지우기 | 활동 전 보안 로그 제거됨 |
Kimsuky 완화
도메인 컨트롤러를 먼저 억제한 후, 계정 및 로깅의 신뢰성을 다시 구축하십시오. LogTotal의 대응 계획은 필수 사항을 포함합니다. 대상이 DC이므로 도메인까지 확장되어야 합니다.
LogTotal의 권장 대응
- 호스트를 고립시킵니다.
- 메모리 및 디스크 이미지화.
- OrbitalHealthCheck 예약 작업을 확인하고 제거합니다.
- 감사 정책을 확인하고 복원합니다.
- PowerShell 스크립트 블록 로깅 및 AMSI 텔레메트리를 활성화하십시오.
- WScript, CScript 및 PowerShell을 허용 목록에 추가합니다.
도메인 컨트롤러에 대한 추가 조치
- 타임라인을 1102 이벤트에서 시작합니다. 보안 로그는 15:02:41 UTC에 삭제되었으므로, 그 이전에는 다른 소스에서 나와야 합니다.
- 모든 것을 수집하고 해시합니다 C:UsersPublicDownloads 및 %TEMP%에 있는 모든 것, LNK, JScript, PowerShell, HTA 및 가짜 smss.Exe를 포함합니다.
- 정리 완료를 확인하십시오. OrbitalTestSvc, adminuserz 및 admingroupz가 사라졌는지 확인하고 관리자를 숨기는 WinlogonSpecialAccountsUserList 값을 되돌립니다.
- 자격 증명을 재설정하십시오. 관리자 비밀번호를 재설정하고 이중 패스워드 재설정 계획을 세우십시오.
- 도메인 전체에서 사냥하십시오 점 패드된 LNK 파일 이름 및 사용자 쓰기 가능한 폴더에서 실행된 스크립트 호스트(wscript.exe, cscript.exe, mshta.exe, powershell.exe)를 사냥하십시오.
Kimsuky 스타일의 무역craft에 대한 강화
이 샘플을 잡는 것과 동일한 제어가 도메인 전체의 노출을 줄입니다. 4688 프로세스 생성과 명령줄을 활성화 상태로 유지하십시오. 49개의 프로세스 이벤트가 대부분의 증거를 포함하고 있었기 때문입니다. 숨겨진 PowerShell을 실행하는 4697 서비스 설치 및 4698 작업 생성을 경고로 간주하십시오. DC에서의 모든 1102 이벤트를 사건 트리거로 간주하십시오.
FAQ
Kimsuky는 무엇이며 어떻게 운영되나?
Kimsuky는 MITRE ATT&CK에 의해 G0094로 추적되는 북한의 국가 후원 스파이 그룹이며, 또한 APT43, Velvet Chollima, Emerald Sleet로 알려져 있습니다. 주로 맞춤형 스피어 피싱을 통해 들어온 후, LNK 파일, 스크립트 및 PowerShell을 사용하여 백도어 및 장기 정보 수집을 위한 지속성을 설치합니다. 상단의 분석 섹션에 전체 프로필이 있습니다.
Kimsuky는 언제 처음 발견되었나?
CISA는 Kimsuky가 2012년부터 운영되었을 가능성이 높다고 평가합니다. 첫 번째 상세한 공개 보고서는 2013년 카스퍼스키의 “Kimsuky 작전”이었으며, 그룹의 이름은 카스퍼스키 연구원이 발견한 내부 코드 참조에서 나왔습니다.
Kimsuky 침입의 영향은 무엇인가?
Kimsuky는 신원 도용을 포함한 장기 정보 수집을 위한 접근을 모색하며, 그 운영 일부는 암호화폐 부문을 목표로 합니다. 그들은 손상된 소프트웨어 벤더를 통해 그들의 고객에게 도달했으며, 이는 2025년부터 2026년 초까지 그룹웨어 캠페인에서도 그렇습니다. 이 샘플처럼 도메인 컨트롤러에서 공격자는 관리자 계정을 생성하고 숨길 수 있으며, 도메인 전체에 지속적으로 존재할 수 있습니다.
Kimsuky가 2026년에도 여전히 영향을 미칠 수 있을까?
네. Kimsuky는 2026년에도 여러 캠페인을 진행했으며, 이 샘플에서 본 것과 같은 LNK 루어, 숨겨진 PowerShell 및 예약된 작업 지속성을 사용합니다. 상단의 분석 섹션에는 2026년 캠페인을 나열합니다.
Kimsuky로부터 자신을 어떻게 보호할 수 있을까?
WScript, CScript 및 PowerShell을 허용 목록에 추가하거나 제한하고, Script Block Logging 및 AMSI 텔레메트리를 활성화하며, 사용자 쓰기 가능한 폴더에서 실행되는 스크립트 호스트에 대해 경고하십시오. 숨겨진 PowerShell을 실행하는 새로운 서비스 및 예약된 작업을 모니터링하고, DC의 감사 로그 삭제를 사건으로 처리하십시오.
Kimsuky를 어떻게 탐지할 수 있을까?
Windows 보안 이벤트를 수집하고, 프로세스 명령줄 (4688), 서비스 설치 (4697), 예약 작업 이벤트 (4698, 4702, 4699), 계정 및 그룹 변경 (4720–4738), AD 변경 (5136), 그리고 로그 삭제 (1102)를 수집하십시오. 이 내보내기를 LogTotal로 실행하여 알려진 Kimsuky 캠페인과 일치시키고, 원시 이벤트에 대해 각 발견을 확인하십시오.
