[해외보안뉴스] 러시아 해커 조직 APT28, NATO 회원국 해군 조선업체 해킹 및 신종 악성코드 투입
· 2026-10-20 21:00
· 조회 10
· 원문 ↗
러시아 정부의 지원을 받는 지능형 지속 공격(APT) 그룹인 APT28(Fancy Bear, Forest Blizzard, BlueDelta 등으로도 알려짐)이 북대서양조약기구(NATO) 회원국의 해군 군함 제조업체를 침해한 사실이 밝혀졌습니다. 시만텍 위협 탐지 팀(Swallowtail이라는 클러스터명으로 추적)에 따르면, 공격자들은 보안 탐지를 우회하기 위해 'HOOKEDGE'라는 이름의 신종 백도어와 새로운 리플렉티브 로더(Reflective Loader) 기법을 활용하여 시스템에 침투했습니다.
이번 공격의 영향 범위는 NATO 회원국의 핵심 국방 및 방위산업 분야에 집중되어 있습니다. 특히 국가 안보와 직결된 해군 조선업체를 직접적인 타깃으로 삼아 해군 전력 및 주요 방산 기술 정보를 탈취하려 한 정황이 포착되었습니다. 조사 결과 이번 공격 캠페인은 최소 2개 이상의 NATO 회원국 내 기관을 대상으로 전개된 것으로 확인되었으며, 고도화된 사이버 간첩 활동의 일환으로 분석됩니다.
이와 같은 위협에 대응하기 위해 방산 관련 기관 및 기업은 APT28과 관련된 침해 지표(IoC)를 즉시 보안 시스템에 업데이트하고 모니터링을 강화해야 합니다. 또한, 메모리 상에서 직접 실행되어 기존 파일 기반 백신을 우회하는 리플렉티브 로더 기법에 대응할 수 있도록 엔드포인트 탐지 및 대응(EDR) 솔루션의 행위 기반 탐지 기능을 활성화하고, 핵심 자산에 대한 접근 제어 및 네트워크 구획화를 철저히 유지해야 합니다.
♥ 추천 0
리플렉티브 로더(Reflective Loader) 기법이 사용되었다는 것은 디스크 흔적 없이 메모리 상에서 직접 DLL을 로드하여 기존 EDR 및 파일 기반 감지 체계를 무력화했다는 의미입니다.
개발 및 시스템 아키텍처 관점에서는 애플리케이션에 CFG(Control Flow Guard) 같은 메모리 보호 기법을 강제하고,
VirtualAlloc이나WriteProcessMemory등 인메모리 실행에 사용되는 API 호출 패턴을 모니터링하는 로직이 시급합니다.특히 방산 분야 특성상 단순 파일 스캔을 넘어 메모리 포렌식 기반의 탐지 체계와 함께, 시스템 간 접근 권한을 최적화하는 제로 트러스트(Zero-Trust) 세그멘테이션 재점검이 필요합니다.
방산 핵심 타깃을 노린 이번 공격의 핵심은 디스크 흔적을 남기지 않고 메모리 상에서 직접 코드를 실행하는 신규 리플렉티브 로더(Reflective Loader)의 활용입니다. 이는 기존 EDR 및 파일 기반 탐지 체계를 효과적으로 우회할 수 있어, 공격자 관점에서 초기 침투 및 실행의 은닉성을 극대화하는 매우 위협적인 기법입니다. 여기에 HOOKEDGE 백도어를 연계하여 은밀한 지속성(Persistence)까지 확보한 만큼, 고도화된 방산 네트워크의 경계 보안을 무력화한 전형적인 공격 시나리오입니다.
국가 배후 해킹 그룹(APT28)이 방위 산업 및 주요 공급망을 직접 타격한 이번 사례는 지정학적 리스크가 기업의 사이버 위협으로 직결되고 있음을 보여줍니다. 신종 백도어와 고도화된 은폐 기술에 대응하기 위해서는 전통적인 경계 방어를 넘어, 제로 트러스트 기반의 상시 위협 탐지(Threat Hunting) 체계가 필수적입니다. 우리 조직 역시 파트너사 및 공급망에 대한 보안 거버넌스 점검을 강화하고, 지능형 공격에 대비한 대응 프로세스를 조속히 재점검해야 합니다.