카스퍼스키, 공공 정보 노린 허니마이트 공격 활동 포착

카스퍼스키는 동남아시아 정부·외교 기관을 겨냥해 민감한 정치·전략 정보를 탈취하는 것으로 알려진 ‘허니마이트(HoneyMyte)’의 최신 공격 활동을 확인했다고 4일 밝혔다.

카스퍼스키 글로벌 연구 분석팀 ‘카스퍼스키 GReAT(Kaspersky GReAT)’는 허니마이트가 자신들이 사용하는 쿨클라이언트 백도어에 기능을 추가하고, 브라우저 로그인 데이터 탈취기 변종을 배포했으며, 정찰과 데이터 탈취를 위한 스크립트를 사용한 정황을 발견했다. 이번 캠페인 대상 국가는 미얀마, 몽골, 말레이시아, 태국, 러시아다. 카스퍼스키는 공격 초점이 정부 부문에 맞춰져 있었다고 설명했다.

카스퍼스키는 쿨클라이언트 최신 버전이 플러그엑스(PlugX), 루미너스모스(LuminousMoth)와 함께 ‘보조 백도어’ 형태로 자주 배포됐다고 밝혔다. 이 과정에서 공격자는 DLL 사이드로딩(DLL side-loading) 기법을 활용한 것으로 분석됐다. DLL 사이드로딩은 정상 실행 파일을 이용해 악성 동적 링크 라이브러리(DLL)를 함께 불러오게 만드는 방식이다.

카스퍼스키는 2021년부터 2025년까지 공격자가 여러 합법 소프트웨어 제품에 포함된 서명된 바이너리를 악용해 왔으며, 최근 캠페인에서는 상포(Sangfor)의 서명된 애플리케이션을 활용했다고 설명했다.

쿨클라이언트에 새로 추가된 기능으로는 클립보드 모니터링, 활성창 추적이 있다. 클립보드는 사용자가 복사한 텍스트가 잠시 저장되는 영역이다. 활성창 추적은 사용 중인 프로그램 창의 정보를 기록하는 기능이다. 카스퍼스키는 이 기능이 클립보드 내용과 함께 활성 애플리케이션의 창 제목, 프로세스 ID, 타임스탬프를 캡처할 수 있다고 밝혔다. 이를 통해 공격자는 사용자 활동과 복사된 데이터의 맥락을 추적할 수 있다고 했다.

카스퍼스키는 쿨클라이언트가 네트워크 트래픽에서 HTTP 프록시 자격 증명을 추출하는 기능도 갖춘 것으로 분석했다. 프록시는 내부망과 외부망 사이에서 트래픽을 중계하는 서버다. 카스퍼스키는 이 기법이 허니마이트 악성코드 전반에서 새롭게 관찰됐다고 밝혔다. 연구진은 여러 개의 쿨클라이언트 플러그인이 실제로 사용된 정황을 확인했으며, 쿨클라이언트가 커스텀 플러그인으로 기능을 확장할 수 있음을 의미한다고 설명했다.

카스퍼스키는 허니마이트가 시스템 정보 수집, 문서 유출, 브라우저 저장 자격 증명 수확을 위해 스크립트를 사용했다고 밝혔다. 침해 이후 단계에서는 크롬 자격 증명 탈취 악성코드의 새로운 버전도 사용됐으며, 톤셸(ToneShell) 캠페인 샘플과 코드 유사성이 관찰됐다고 했다.

파리드 라지 카스퍼스키 GReAT 보안 연구원은 “키로깅, 클립보드 모니터링, 프록시 자격 증명 탈취, 문서 유출, 브라우저 자격 증명 수확, 대규모 파일 탈취 같은 기능을 갖춘 현재의 공격 환경에서 능동적 감시는 지능형 지속 공격(APT) 플레이북의 표준 전술이 됐다”며 “데이터 유출, 지속성 같은 전통적 위협과 같은 수준의 대비와 선제적 방어가 필요하다”고 말했다. 키로깅은 키보드 입력을 기록해 계정 정보 등을 빼내는 방식이다.

이효은 카스퍼스키 한국 대표는 “한국에서는 허니마이트 같은 그룹들이 공격 방식을 지속적으로 진화시키며 사이버 위협 환경이 더 복잡해지고 있다”며 “기업들은 제품, 관리형 보안 서비스, 위협 인텔리전스를 활용해 종합적이고 선제적인 방어 체계를 구축해야 한다”고 말했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network