크라우드스트라이크, FBI의 북한 위장취업 거점 차단 지원

크라우드스트라이크(CrowdStrike)는 미국 연방수사국(FBI)이 지난 9월 말 북한 연계 공격조직의 위장취업에 사용된 미국 내 ‘노트북 팜(Laptop Farm)’ 여러 곳을 차단하는 과정에서 위협 정보와 기술 분석을 제공했다고 지난 13일 밝혔다.

노트북 팜은 북한 연계 공격조직 ‘페이머스 천리마(FAMOUS CHOLLIMA)’가 운영한 인프라다. 공격자들은 허위 또는 도용한 신원으로 미국 기업에 취업한 뒤 정상적인 원격 근무자로 위장했다. 이를 통해 기업 내부 시스템에 지속적으로 접근하고 부정하게 취득한 급여를 북한 정권으로 이전했다는 것이 크라우드스트라이크의 설명이다.

노트북 팜은 기업이 지급한 업무용 노트북을 특정 장소에 모아 놓고 외부에서 원격으로 접속할 수 있도록 구성한 시설이다. 공격자들은 미국 내 조력자를 이용해 노트북을 확보하고 실제 위치를 숨긴 채 업무를 수행했다.

허위 분실 신고로 노트북 확보, 기기 식별정보도 위조

크라우드스트라이크의 위협 헌팅 조직 오버워치(OverWatch)는 공격자들이 기업의 노트북을 확보하기 위해 배송지를 조작하는 수법을 확인했다.

일부 공격자는 노트북을 도난당했다는 허위 경찰 신고를 접수해 교체 기기가 노트북 팜으로 배송되도록 유도했다. 여러 주거지 주소를 번갈아 사용하거나 배송 도중 이사했다고 주장하며 주소를 변경하기도 했다.

IT 인력 파견 업체를 통해 취업한 뒤 해당 업체도 모르게 최종 고객사가 제공한 노트북을 노트북 팜으로 전달한 사례도 확인됐다.

노트북이 거점에 도착하면 현지 조력자가 원격 접속에 필요한 하드웨어와 소프트웨어를 설치했다. 공격자들은 원격 관리·접속(RMM) 도구의 사용 흔적을 숨기려는 시도도 보였다.

탐지를 피하기 위해 기기 식별정보를 위조하는 수법도 사용했다. 크라우드스트라이크에 따르면 FAMOUS CHOLLIMA는 지난 5월부터 기기 해시를 위조하기 시작했다. 비디오 캡처 카드를 웹캠으로 위장하는 방식이 대표적이다.

오버워치는 여러 피해 조직에서 동일한 위장 기기가 사용된 정황을 확인했다. 노트북 팜 내부에서는 복수의 가짜 계정이 동일한 기기 식별자를 공유하는 사례도 발견됐다.

크라우드스트라이크는 공격자들이 보안 담당자의 탐지 기준을 파악하고 이를 회피하기 위해 기기 식별자를 재사용한 것으로 분석했다.

항공우주·금융·의료 등 피해, 거점 차단에도 활동 지속

크라우드스트라이크의 위협 대응 조직은 2025년 4월부터 올해 6월까지 공격자들이 위장 취업에 사용한 가짜 신원과 기술적 지표, 미국 내 컴퓨터를 추적했다. 이를 토대로 미국 내 조력자 네트워크를 식별하고 관련 정보를 수사기관에 제공했다.

이번 작전으로 차단된 여러 거점에서 확인된 피해 조직은 수십 곳이다. 항공우주와 에너지, 금융 서비스, 의료, 사이버보안, 방위 엔지니어링, 정부 기술 등 다양한 산업이 포함됐다.

다만 크라우드스트라이크는 이번 차단 조치가 공격조직의 활동에 미치는 영향은 제한적일 것으로 전망했다. 폐쇄된 거점 주변에서는 활동이 일시적으로 둔화할 수 있지만, 장기적인 효과는 크지 않을 것이라는 설명이다.

이에 기업에는 채용 지원자의 신원과 원격 근무 환경을 점검할 것을 권고했다. 여러 온라인 프로필에서 동일한 연락처와 은행 계좌가 사용되는지 확인하고, 거주지와 노트북 배송지의 불일치 여부도 살펴봐야 한다.

영상 면접에 나타난 지원자의 얼굴과 신분증 사진이 일치하지 않거나 서로 다른 지역에서 비정상적인 로그인이 발생하는 경우도 점검 대상으로 제시했다.

크라우드스트라이크는 앞으로도 수사기관과 협력해 FAMOUS CHOLLIMA의 인프라와 활동 변화를 추적할 방침이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network