suspected 데이터 유출에서 대규모 북한 해커 그룹의 활동 노출

거대한 북한 해커 그룹이 두 개의 침해된 시스템을 포함하는 alleged 데이터 유출 사건에서 노출되었으며, Kimsuky APT 구성원이 대규모 유출을 당한 것으로 의심됩니다.

suspected 북한 해커 그룹 Kimsuky의 구성원인 고급 지속적 위협(APT)이 대규모 데이터 유출을 겪어 수백 기가바이트의 내부 파일과 도구가 유출된 것으로 보고되었습니다.

의심스러운 데이터 유출에서 북한 해커 그룹 노출

Slow Mist 보안 연구원들에 따르면, 유출된 Kimsuky 해커 데이터에는 브라우저 기록, 피싱 캠페인 로그, 맞춤형 백도어 매뉴얼, TomCat 커널 백도어, 수정된 Cobalt Strike 비콘, Ivanti RootRot, Toybox와 같은 Android 기반 악성코드 변종과 같은 공격용 시스템이 포함됩니다.

보고서는 데이터 유출이 2025년 6월 초에 발생했으며, 'KIM'이라는 가명으로 활동하는 Kimsuky 운영자와 연결된 두 개의 침해된 시스템으로 거슬러 올라간다고 의심합니다. 하나는 Deepin 20.9를 실행하는 Linux 개발 워크스테이션이었고, 다른 하나는 공개 VPS였습니다. Linux 시스템은 아마도 악성코드 개발 환경으로 사용되었을 것이며, 다른 시스템은 가짜 로그인 포털과 명령 및 제어 링크를 포함하는 스피어 피싱 자료를 호스팅했습니다.

유출을 저지른 해커들은 자신을 “Saber”와 “cyb0rg”라고 부르며, 온라인에 게시하기 전에 두 시스템의 콘텐츠에 접근하고 유출했다고 주장합니다. 일부 지표는 “KIM”을 Kimsuky의 알려진 인프라와 연결하지만, 다른 언어적 및 기술적 단서는 가능한 중국 연결을 시사하므로 현재로서는 KIM의 기원이 해결되지 않았습니다.

Kimsuky는 최소한 2012부터 운영해 왔습니다

Kimsuky는 2012년 처음 등장한 이후 북한 정찰총국과 연결되어 있습니다. 이 그룹은 오랫동안 정부, 싱크탱크, 방위 계약자, 학계를 표적으로 한 사이버 스파이 활동에 특화되어 왔습니다.

2025년 초, Kimsuky의 DEEP#DRIVE와 같은 캠페인은 문서로 위장한 Windows 바로가기(LNK) 파일을 포함한 압축 ZIP 파일로 시작되는 다단계 침입 체인을 사용했습니다. 피해자가 해당 파일을 열면 LNK 파일이 PowerShell 명령을 실행하여 Dropbox와 같은 서비스에서 악성 페이로드를 검색하며, 속임수 문서를 사용하여 합법적으로 보이도록 하고 탐지를 피합니다.

2025년 3월과 4월의 Kimsuky 캠페인은 악성 ZIP 아카이브에 임베드된 지저분한 VBScript 및 PowerShell 코드를 도입했습니다. 이러한 스크립트는 명령을 은밀하게 조립하여 키스트로크 수집, 클립보드 데이터 캡처, Chrome, Edge, Firefox, Naver Whale을 포함한 브라우저에서 암호화폐 지갑 키를 탈취하는 악성코드를 배포했습니다.

일부 작업은 메모리 내에서 직접 반사 DLL 기반 악성코드를 실행하기 위해 VBScript와 짝을 이룬 악성 LNK 파일을 사용하는 방식으로 전환되었습니다.

동일한 시기, Kimsuky는 은밀한 원격 접근을 가능하게 하기 위해 맞춤형 RDP 래퍼 모듈과 프록시 악성코드를 배포하기 시작했습니다. forceCopy와 같은 정보 탈취 도구는 표준 비밀번호 접근 알림을 트리거하지 않고 브라우저 구성 파일에서 자격 증명을 수집하는 데 사용되었습니다.

이 그룹은 또한 인기 있는 클라우드 및 코드 호스팅 서비스를 남용했습니다. 2025년 6월 한국을 표적으로 한 한 스피어 피싱 캠페인에서 개인 GitHub 저장소는 악성 코드와 유출된 데이터를 저장하는 데 사용되었습니다. 이러한 캠페인은 XenoRAT과 같은 페이로드를 전달하면서 도박박을 도난 파일의 스테이징 지점으로 사용했습니다. 신뢰할 수 있는 플랫폼의 이중 사용은 Kimsuky가 합법적인 네트워크 트래픽 내에서 악성 활동을 숨길 수 있게 했습니다.