한국을 겨냥한 위협 그룹
다섯 곳을 공개 자료로 정리했습니다
MITRE ATT&CK 그룹 페이지와 각국 정부 권고문, 보안 업체 보고서에 나온 내용만 모았습니다.
그룹마다 어떤 기법을 주로 쓰는지, 우리 로그에서 무엇을 봐야 하는지, 실제로 막히는지 어떻게 확인하는지까지 적었습니다.
한눈에 보기
다섯 그룹 모두 MITRE ATT&CK이 북한 정부와 연계된 것으로 정리한 그룹입니다.
Genox가 직접 귀속(attribution)을 판단한 내용은 없고, 사건 사례도 공개 자료에 나온 것만 옮겼습니다.
| 그룹 | ATT&CK ID | 주된 목적 | 한국과 관련해 공개 자료에 나오는 대상 | 대표 공개 자료 |
|---|---|---|---|---|
| Lazarus Group | G0032 | 정보 수집, 금전 탈취, 파괴 | 금융, 가상자산, 방산·항공. MITRE는 DarkSeoul, Ten Days of Rain 같은 작전과의 연관성을 함께 적고 있습니다 | CISA AA22-108A |
| Kimsuky | G0094 | 정보 수집 | 정부기관, 싱크탱크, 외교·안보·북한 분야 전문가, 언론 | CISA AA20-301A, 한미 공동 권고문(2023.6) |
| APT37 | G0067 | 정보 수집 | 주로 한국. 국내 웹사이트를 거치는 워터링홀 공격 | FireEye(2018), Volexity(2021) |
| Andariel | G0138 | 정보 수집, 금전 탈취 | 정부기관, 군, 국내 기업, 방산·항공·원자력·엔지니어링 | CISA AA24-207A (국가정보원·경찰청 공동) |
| APT38 | G0082 | 금전 탈취 | 은행, 가상자산 거래소, 결제 시스템. 한국만 겨냥한다고 볼 근거는 없지만 국내 금융권이 같은 대상군에 들어갑니다 | CISA AA20-239A |
기준일 2026-11-07. 이 날짜에 MITRE ATT&CK 그룹 페이지를 다시 확인했습니다. ATT&CK은 버전이 올라갈 때마다 기법 목록과 다른 이름이 바뀌니, 쓰기 전에 원문을 한 번 더 보세요.
Lazarus Group
MITRE는 정찰총국(RGB)과 연계된 그룹으로, 적어도 2009년부터 활동했다고 적습니다. 북한 조직들이 사람과 도구를 공유하기 때문에 "Lazarus"가 북한발 활동 전체를 묶는 이름으로 쓰이는 경우가 많다는 점도 같이 밝혀 둡니다. 보고서마다 범위가 다르니 이름만 보고 같은 행위자라고 단정하지 마세요.
다른 이름
주요 대상
금융기관과 가상자산 이용자, 방산·항공 분야 직원. 2019~2020년 Operation Dream Job에서는 가짜 채용 제안과 LinkedIn 계정으로 방산·항공 업계 직원에게 접근했습니다.
초기 침투
채용을 미끼로 한 스피어피싱이 대표적입니다. CISA AA22-108A는 블록체인 기업의 시스템 관리자와 DevOps 담당자에게 고액 채용을 제안하고, 가상자산 거래 앱으로 위장한 악성 앱(TraderTraitor)을 내려받게 한 방식을 설명합니다. 앱 안에 든 업데이트 함수가 추가 악성코드를 받아 실행합니다.
2023년 11월 영국 NCSC와 국가정보원이 낸 공동 권고문은 언론사 사이트를 거쳐 국내 보안 인증 소프트웨어(MagicLine4NX, CVE-2023-45797) 취약점을 노린 공급망 공격을 다룹니다. 권고문은 북한 연계 행위자로만 적고 특정 그룹 이름은 쓰지 않았습니다.
| 기법 ID | 기법 | 전술 |
|---|---|---|
| T1566.001 | 스피어피싱 첨부파일 | 초기 침투 |
| T1566.002 | 스피어피싱 링크 | 초기 침투 |
| T1059.001 | PowerShell | 실행 |
| T1543.003 | 윈도우 서비스 생성·변경 | 지속성 |
| T1547.001 | 레지스트리 Run 키 · 시작 프로그램 폴더 | 지속성 |
| T1110.003 | 패스워드 스프레이 | 자격 증명 접근 |
| T1557.001 | LLMNR/NBT-NS 응답 위조와 SMB 릴레이 | 자격 증명 접근 |
| T1560.001 | 압축 유틸리티로 수집 데이터 묶기 | 수집 |
| T1041 | C2 채널로 유출 | 유출 |
| T1485 | 데이터 파괴 | 영향 |
탐지에서 확인할 것
- 메신저나 메일로 받은 압축 파일, 설치 파일이 실행된 직후 PowerShell이나 cmd가 뜨는지. EDR 프로세스 트리나 Sysmon 이벤트 1번(프로세스 생성)에서 부모와 자식 관계를 봅니다.
- 새 서비스 등록(System 로그 7045)과 Run 키 변경(Sysmon 13번). 업무 시간 밖에 생긴 서비스는 이름이 그럴듯해도 바이너리 경로와 서명을 확인하세요.
- 한 출발지에서 여러 계정으로 로그인 실패가 이어지는 패턴. 윈도우 보안 로그 4625, 4771과 클라우드 ID 서비스의 로그인 로그를 같이 봐야 스프레이가 보입니다.
- 네트워크에서 LLMNR(UDP 5355), NBT-NS(UDP 137) 응답을 내는 단말. 쓰지 않는다면 그룹 정책으로 끄는 편이 탐지보다 확실합니다.
- 인증서·전자서명 에이전트 같은 국내 업무용 보안 프로그램 프로세스가 셸을 띄우거나 낯선 외부 주소에 접속하는 경우. 공급망 공격은 이런 정상 프로그램을 거쳐 들어옵니다.
Kimsuky
적어도 2012년부터 활동한 정보 수집 그룹입니다. 처음에는 한국 정부기관, 싱크탱크, 분야별 전문가를 노렸고 이후 UN과 미국·일본·러시아·유럽의 정부, 교육, 제조 분야로 대상을 넓혔습니다. MITRE는 2014년 한국수력원자력 침해를 이 그룹이 일으킨 것으로 평가한 자료를 인용합니다.
다른 이름
주요 대상
한반도 외교·안보, 핵 정책, 대북 제재를 다루는 사람과 조직입니다. 2023년 6월 한미 공동 권고문은 싱크탱크, 학계, 언론을 대상으로 기자, 연구원, 정부 관계자를 사칭한 사례를 정리했습니다.
초기 침투
공개된 사례를 보면 악성 파일 없이 인터뷰나 자문 요청 메일로 먼저 말을 거는 방식이 반복해서 나옵니다. 답장이 오면 그다음 메일에 HWP·Office 문서나 압축된 LNK 파일, 혹은 클라우드 저장소 링크를 보냅니다. 로그인 보안 경고를 흉내 낸 계정 탈취 링크도 자주 쓰입니다. 2024년 FBI 등의 권고문은 DMARC 정책이 느슨한 도메인을 사칭해 메일을 보낸 사례를 다룹니다.
| 기법 ID | 기법 | 전술 |
|---|---|---|
| T1566.001 | 스피어피싱 첨부파일 (HWP, Office, 압축된 LNK) | 초기 침투 |
| T1566.002 | 스피어피싱 링크 | 초기 침투 |
| T1204.002 | 사용자가 악성 파일 실행 | 실행 |
| T1059.001 | PowerShell | 실행 |
| T1218.005 | mshta로 대리 실행 | 방어 회피 |
| T1547.001 | 레지스트리 Run 키 · 시작 프로그램 폴더 | 지속성 |
| T1053.005 | 예약 작업 | 지속성 |
| T1003.001 | LSASS 메모리 덤프 | 자격 증명 접근 |
| T1555.003 | 웹 브라우저에 저장된 자격 증명 | 자격 증명 접근 |
| T1102.002 | 웹 서비스를 이용한 양방향 통신 | 명령·제어 |
탐지에서 확인할 것
- mshta.exe가 외부 URL에 접속하거나 explorer.exe 아래에서 LNK를 거쳐 실행되는 경우. 일반 사용자 PC에서 mshta가 쓰일 일은 드물어서 기준선만 잡아도 걸러집니다.
- 한글 프로그램(Hwp.exe)이나 Office 프로세스가 cmd, PowerShell, wscript를 자식으로 띄우는지.
- 사용자 권한으로 만들어진 예약 작업. 보안 로그 4698 또는 Microsoft-Windows-TaskScheduler 운영 로그에서 작업 이름과 실행 명령을 같이 보세요.
- 브라우저가 아닌 프로세스가 크롬·엣지의 Login Data, Cookies 파일을 읽는 경우와 새로 설치된 브라우저 확장 프로그램.
- 메일 게이트웨이에서 외부 발신자인데 표시 이름이 기관 인사나 기자인 메일, 그리고 우리 도메인의 DMARC 정책이 p=none으로 남아 있지 않은지.
- 로컬 관리자 계정이 새로 생기고(4720, 4732) 원격 데스크톱이 켜지는 조합. 레지스트리 fDenyTSConnections 값 변경으로도 잡힙니다.
APT37
적어도 2012년부터 활동한 정보 수집 그룹으로, MITRE는 주된 대상을 한국으로 적습니다. 일본, 베트남, 러시아, 중동 등에서도 활동이 보고됐습니다. 국내 웹사이트를 감염시켜 방문자를 노리는 방식이 여러 보고서에 반복해서 나옵니다.
다른 이름
주요 대상
MITRE 설명 기준으로 주된 대상 국가는 한국입니다. 아래 Volexity 사례에서는 북한 전문 매체 사이트를 찾는 독자가 노려졌습니다. 2016~2018년의 Operation Daybreak, Erebus, Golden Time, FreeMilk 같은 작전이 이 그룹과 연결돼 있습니다.
초기 침투
워터링홀, 토렌트 사이트를 통한 유포, HWP 첨부 스피어피싱, 브라우저와 문서 프로그램 취약점 공격입니다. Volexity는 2021년 북한 전문 매체 Daily NK 사이트에 인터넷 익스플로러 취약점(CVE-2020-1380, CVE-2021-26411) 공격 코드가 심어졌고, 이후 Microsoft Graph API로 통신하는 BLUELIGHT 악성코드가 쓰였다고 보고했습니다.
| 기법 ID | 기법 | 전술 |
|---|---|---|
| T1189 | 드라이브 바이 공격 (워터링홀) | 초기 침투 |
| T1566.001 | 스피어피싱 첨부파일 | 초기 침투 |
| T1203 | 클라이언트 프로그램 취약점 악용 | 실행 |
| T1059.005 | Visual Basic | 실행 |
| T1547.001 | 레지스트리 Run 키 · 시작 프로그램 폴더 | 지속성 |
| T1548.002 | UAC 우회 | 권한 상승 |
| T1055 | 프로세스 인젝션 | 방어 회피 |
| T1027.003 | 스테가노그래피 | 방어 회피 |
| T1123 | 오디오 녹음 | 수집 |
| T1102.002 | 클라우드·SNS를 이용한 양방향 통신 | 명령·제어 |
탐지에서 확인할 것
- 브라우저 프로세스가 실행 파일이나 스크립트 엔진을 자식으로 띄우는 경우. 정상 동작에서는 거의 나오지 않아 오탐이 적은 규칙입니다.
- 아직 남아 있는 인터넷 익스플로러 모드와 mshtml 사용 현황. 자산 관리 데이터에서 IE 모드 사용 PC를 뽑아 두면 패치 우선순위를 잡기 쉽습니다.
- 브라우저가 아닌 프로세스가 Dropbox, pCloud, Box, Yandex, Microsoft Graph API 같은 클라우드 API에 접속하는지. 프록시 로그나 DNS 로그에서 프로세스 이름과 묶어 봐야 의미가 있습니다.
- 이미지 파일을 내려받은 직후 같은 프로세스가 실행 가능한 메모리 영역을 만드는 패턴(스테가노그래피로 숨긴 페이로드).
- HWP 문서를 연 뒤 생기는 네트워크 연결과 임시 폴더의 새 실행 파일.
Andariel
MITRE는 Andariel을 Lazarus Group의 하위 조직으로 보고, 적어도 2009년부터 한국 정부기관, 군, 국내 기업을 주로 노렸다고 적습니다. 파괴 공격과 함께 ATM, 은행, 가상자산 거래소를 노린 금전 목적 활동도 했습니다. 2024년 7월 CISA AA24-207A는 미국·영국 기관과 함께 국가정보원, 경찰청이 공동으로 낸 권고문입니다.
다른 이름
주요 대상
AA24-207A 기준으로 방산, 항공우주, 원자력, 엔지니어링이 1차 대상이고 의료와 에너지가 그다음입니다. 같은 권고문은 미국 의료기관을 대상으로 한 랜섬웨어 수익이 정보 수집 활동 자금으로 쓰였다고 적습니다.
초기 침투
인터넷에 노출된 서버의 알려진 취약점을 노리고 웹셸을 심는 방식이 중심입니다. 권고문에는 Log4j(CVE-2021-44228), Apache ActiveMQ(CVE-2023-46604), TeamCity(CVE-2023-42793) 등이 나옵니다. ZIP 안에 LNK나 HTA를 넣은 피싱도 함께 적혀 있습니다.
| 기법 ID | 기법 | 전술 |
|---|---|---|
| T1592.002 | 피해자 호스트의 소프트웨어 정보 수집 | 정찰 |
| T1190 | 공개 애플리케이션 취약점 악용 (AA24-207A) | 초기 침투 |
| T1189 | 드라이브 바이 공격 | 초기 침투 |
| T1566.001 | 스피어피싱 첨부파일 | 초기 침투 |
| T1203 | 클라이언트 프로그램 취약점 악용 | 실행 |
| T1505.003 | 웹셸 (AA24-207A) | 지속성 |
| T1027.003 | 스테가노그래피 | 방어 회피 |
| T1049 | 시스템 네트워크 연결 탐색 | 탐색 |
| T1057 | 프로세스 탐색 | 탐색 |
| T1105 | 외부에서 도구 내려받기 | 명령·제어 |
표시 없는 기법은 MITRE 그룹 페이지, 괄호 표시는 CISA 권고문 내용을 기준으로 넣었습니다.
탐지에서 확인할 것
- Tomcat, ActiveMQ, TeamCity 같은 자바 서버 프로세스가 cmd, PowerShell, sh를 띄우는지. 웹 서버 계정이 셸을 실행하는 순간이 가장 이른 신호인 경우가 많습니다.
- 웹 루트에 새로 생기거나 바뀐 jsp, aspx, php 파일. 파일 무결성 모니터링이 없다면 배포 이력과 파일 수정 시각을 비교하는 것부터 시작하세요.
- 권고문에 나온 명령 패턴: netstat로 연결 목록 확인, curl로 임시 폴더에 파일 받기, vssadmin으로 볼륨 섀도 복사본을 만든 뒤 NTDS.dit 복사.
- Mimikatz, ProcDump, AdFind, Impacket, PLINK 같은 이중 용도 도구 실행. 관리자가 실제로 쓰는 도구 목록과 대조해야 오탐이 줄어듭니다.
- VMProtect, Themida로 패킹된 실행 파일과 내부 서버 사이의 RDP 이동, 이어서 클라우드 저장소나 FTP로 나가는 대용량 전송.
APT38
정찰총국과 연계된 금전 목적 그룹으로, 적어도 2014년부터 최소 38개국의 은행, 금융기관, 카지노, 가상자산 거래소, SWIFT 단말, ATM을 노렸습니다. 2016년 방글라데시 중앙은행 사건이 대표 사례로 꼽힙니다. 공개 자료가 한국만 따로 짚지는 않지만, 국내 금융사와 가상자산 사업자가 같은 대상군에 들어가서 함께 실었습니다.
다른 이름
주요 대상
은행의 결제 스위치 서버와 SWIFT 단말, 은행 간 결제 처리 업체, 가상자산 거래소입니다. MITRE 그룹 페이지에는 npm 패키지를 이용한 소프트웨어 공급망 침해도 올라와 있습니다.
초기 침투
CISA AA20-239A는 채용 지원서로 위장한 첨부파일 스피어피싱, 워터링홀, 인터넷 노출 애플리케이션 취약점, 탈취한 정상 계정, 거래 관계에 있는 외부 업체, 외부 원격 접속 서비스를 꼽습니다. 침투 뒤에는 결제 스위치에서 ISO 8583 승인 메시지를 가로채 ATM 현금 인출을 승인하는 FASTCash 악성코드가 쓰였습니다.
| 기법 ID | 기법 | 전술 |
|---|---|---|
| T1195.001 | 소프트웨어 의존성·개발 도구 침해 | 초기 침투 |
| T1566.001 | 스피어피싱 첨부파일 | 초기 침투 |
| T1189 | 드라이브 바이 공격 | 초기 침투 |
| T1059.001 | PowerShell | 실행 |
| T1543.003 | 윈도우 서비스 생성·변경 | 지속성 |
| T1553.005 | Mark-of-the-Web 우회 | 방어 회피 |
| T1070.006 | 타임스탬프 조작 | 방어 회피 |
| T1565.002 | 전송 중인 데이터 조작 | 영향 |
| T1657 | 금전 탈취 | 영향 |
| T1485 | 데이터 파괴 | 영향 |
탐지에서 확인할 것
- 결제 스위치 서버(AIX, 리눅스 포함)에 새로 올라온 프로세스와 공유 라이브러리. 이런 서버는 변경이 드물어서 화이트리스트 방식이 잘 맞습니다.
- SWIFT 단말과 결제 서버의 업무 시간 밖 로그인, 평소와 다른 출발지에서 들어온 관리자 세션.
- 방화벽 정책에 443, 6443, 8443, 9443 포트 예외가 새로 생기는지. AA20-239A에 나온 패턴이라 변경 관리 기록과 바로 대조할 수 있습니다.
- 개발자 PC와 빌드 서버에서 npm install 중 postinstall 스크립트가 외부로 접속하거나 셸을 띄우는 경우.
- ISO, IMG, VHD 같은 디스크 이미지 안의 파일이 실행되는 경우(MotW 우회)와 이벤트 로그 삭제(보안 로그 1102).
읽을 때 주의할 점
그룹 정보는 출발점으로 쓰기 좋지만, 그대로 탐지 규칙으로 옮기면 놓치는 부분이 생깁니다.
그룹 이름과 경계는 업체마다 다릅니다
MITRE도 다섯 그룹 페이지 모두에 "북한 그룹 정의는 서로 크게 겹친다"는 취지의 설명을 달아 둡니다. Andariel은 Lazarus의 하위 조직으로, APT38은 BlueNoroff와 같은 이름으로 묶이기도 합니다. 그룹 이름보다 기법 단위로 대비하는 편이 덜 헷갈립니다.
IoC는 일부러 넣지 않았습니다
해시, IP, 도메인은 몇 주만 지나도 바뀝니다. 필요하면 위 권고문에 첨부된 STIX 파일과 YARA 규칙을 직접 받아 쓰세요. 이 페이지는 오래 유효한 행위 패턴 위주로 적었습니다.
기법 목록은 일부만 골랐습니다
그룹마다 ATT&CK에 등록된 기법은 수십 개입니다. 여기서는 초기 침투부터 영향까지 흐름이 보이도록 6~10개만 골랐고, 전체 목록은 MITRE 그룹 페이지에서 ATT&CK Navigator 레이어로 받을 수 있습니다.
로그가 없으면 탐지 항목도 의미가 없습니다
저희가 점검해 보면 Sysmon이 일부 서버에만 깔려 있거나, PowerShell 스크립트 블록 로깅(4104)이 꺼져 있는 경우가 흔합니다. 위 항목을 보기 전에 해당 로그가 실제로 수집되는지부터 확인하세요.
우리 환경에서 이 기법들이 막히는지 궁금하다면
선제 검증에서 위 그룹들의 기법을 승인한 범위 안에서 실행해 보고, 막힘·탐지·놓침을 ATT&CK 지도로 정리해 드립니다. 위협 정보 구독은 위협 인텔리전스 페이지에 있습니다.
참고 자료
모두 2026-11-07에 접속해 확인했습니다.
- Lazarus Group, G0032, MITRE ATT&CK
- Kimsuky, G0094, MITRE ATT&CK
- APT37, G0067, MITRE ATT&CK
- Andariel, G0138, MITRE ATT&CK
- APT38, G0082, MITRE ATT&CK
- TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies (AA22-108A), FBI · CISA · 미 재무부, 2022.4
- UK and Republic of Korea issue warning about DPRK state-linked cyber actors attacking software supply chains, 영국 NCSC · 국가정보원, 2023.11
- North Korean Advanced Persistent Threat Focus: Kimsuky (AA20-301A), CISA · FBI · CNMF, 2020.10
- North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media, 국가정보원 · 경찰청 · 외교부 · FBI · 미 국무부 · NSA, 2023.6
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts, FBI 외, 2024.5
- APT37 (Reaper): The Overlooked North Korean Actor, FireEye, 2018
- North Korean APT InkySquid Infects Victims Using Browser Exploits, Volexity, 2021.8
- North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime's Military and Nuclear Programs (AA24-207A), FBI · CISA · NSA · 국가정보원 · 경찰청 외, 2024.7
- FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks (AA20-239A), CISA · 미 재무부 · FBI · USCYBERCOM, 2020.8
- APT38: Un-usual Suspects, FireEye, 2018