러시아 군사정보기관(GRU)과 연계된 해킹 그룹 APT28이 2025년 9월부터 2026년 7월까지 스페인·루마니아·튀르키예의 정부·외교·방산 기관을 노린 사이버 스파이 캠페인을 벌였습니다. 공격자는 실제 외교 회의 일정처럼 꾸민 가짜 워드 문서를 피싱 미끼로 사용했으며, 피해자가 매크로 실행을 허용하면 'HOOKEDGE'라는 신종 백도어(몰래 설치되어 외부에서 시스템을 제어할 수 있는 악성코드)가 설치됩니다. 이 백도어는 마이크로소프트 엣지(Edge) 브라우저를 몰래 실행하고, 개발자 테스트 도구인 webhook.site라는 정상 서비스를 통해 공격자의 명령을 주고받아 일반 웹 트래픽처럼 위장합니다. 중요 표적으로 판단된 피해자에게는 5분 간격으로 명령을 확인하는 2단계 백도어까지 추가 설치해 실시간에 가까운 원격 제어가 가능하게 했습니다. 조직 내 워드 매크로 실행을 제한하고 webhook.site 등 외부 HTTP 서비스로의 비정상 통신을 모니터링하는 것이 핵심 대응책입니다.
러시아 GRU 산하 APT28이 2025년 9월~2026년 7월 스페인·루마니아·튀르키예의 정부·외교·방산 기관을 대상으로 신종 백도어 HOOKEDGE를 배포하는 사이버 스파이 캠페인을 수행했다.
감염 시스템에서 공격자가 원격으로 명령을 실행하고 정보를 수집할 수 있으며, 외교·안보 관련 민감 정보가 유출됐을 가능성이 있다. 중요 표적에는 5분 간격 2단계 백도어가 추가 설치돼 실시간 제어가 가능했다.
실제 외교 활동을 모방한 워드 문서 피싱으로 사용자가 매크로 실행을 허용하도록 유도했다. 정상 서비스(webhook.site)와 정상 브라우저(Edge)를 C2(명령제어) 통신에 악용해 보안 솔루션 탐지를 회피했다.
Recorded Future(레코디드퓨처)가 2026년 8월 27일 상세 분석 보고서를 공개했다. 영국 NCSC는 APT28을 GRU 26165부대로 공식 귀속했다.
워드 매크로 실행 정책을 제한하고, webhook.site 등 개발용 HTTP 테스트 서비스로 향하는 비정상 아웃바운드 트래픽을 모니터링해야 한다. 정상 브라우저를 헤드리스 모드로 실행하는 방식은 네트워크 기반 탐지를 우회하므로, 엔드포인트(단말) 행위 기반 탐지(EDR) 솔루션 운영이 필요하다.
본문
HOOKEDGE 백도어 배포 악성 워드 문서의 실행 흐름도 (출처: 레코디드퓨쳐)
러시아 연계 해킹그룹 APT28이 유럽 정부와 외교기관을 대상으로 새로운 백도어 '훅엣지(HOOKEDGE)'를 사용한 사이버 스파이 활동을 벌인 정황이 확인됐다. 공격은 2025년 9월 말부터 2026년 4월 초까지 스페인, 루마니아, 튀르키예의 정부·외교·방산 관련 조직을 중심으로 관측됐다.
이번 공격에 대한 상세 분석은 2026년 8월 27일 공개됐다. 공격 주체로 지목된 APT28은 팬시 베어, 포레스트 블리자드, 블루델타 등의 이름으로 추적되고 있다. 영국 국가사이버보안센터(NCSC)는 APT28을 러시아군 총정보국(GRU) 26165부대와 연계된 조직으로 평가하고 있다.
스페인 정부 외교 문서로 위장해 공격
확인된 가장 이른 악성 문서는 2025년 9월 26일 처음 포착됐다. 공격자는 스페인 대통령부·법무부·의회관계부가 작성한 회의 일정 문서처럼 꾸민 마이크로소프트 워드 파일을 사용했다.
이 문서는 지난 2025년 9월 8일 스페인 정부 관계자와 몰도바 관계자 간 회의가 열린 직후 제작됐다. 당시 몰도바는 같은 달 총선을 앞두고 있었다. 분석 결과 공격자는 실제 외교 활동과 관련된 내용을 피싱 미끼로 활용한 것으로 조사됐다. 다만 해당 미끼 문서 자체가 실제 정부 문서를 복제한 것인지는 확인되지 않았다.
2025년 10월부터 12월 사이에는 공격 방식이 단순해졌다. 문서를 열면 의미 없는 내용이나 '콘텐츠 사용' 버튼을 누르라는 안내가 표시됐다. 피해자가 매크로 실행을 허용하면 가짜 워드 오류 메시지가 나타났다.
2026년 4월 초에는 튀르키예 조직을 대상으로 한 HOOKEDGE 변종도 네트워크 분석에서 확인됐다. 이후 6월과 7월까지 악성 문서의 VBA 난독화 방식과 피해자 확인 기능을 수정한 변종이 추가로 관측됐다.
매크로 실행하면 예약 작업 등록…30분마다 공격 서버 접속
HOOKEDGE는 복잡한 실행파일이 아니라 윈도우 배치 스크립트 기반의 가벼운 백도어다.
피해자가 악성 워드 문서에서 매크로 실행을 허용하면 AutoOpen 기능이 자동 실행된다. 이후 사용자 프로필 디렉터리에 백도어와 실행 스크립트 등 6개 파일을 생성하고 HOOKEDGE 설치 과정이 시작된다.
설치 과정에서는 윈도우 예약 작업을 등록해 주기적으로 백도어가 실행되도록 한다. 초기 변종은 약 30분마다 실행됐다. 설치가 끝난 뒤에는 설치 프로그램과 관련 파일 일부를 삭제해 공격 흔적을 줄였다.
악성 문서 안에는 피해자가 문서를 열었는지 확인하기 위한 숨겨진 이미지도 포함됐다. 이미지가 webhook.site 주소를 호출하면 공격자는 피해자가 문서를 열었다는 사실과 접속 정보를 확인할 수 있었다.
일부 공격에서는 이메일이 열렸는지를 확인하는 별도의 기능까지 사용했다. 공격자가 이메일 열람, 문서 열람, 매크로 실행 여부를 단계별로 확인할 수 있도록 만든 구조다.
마이크로소프트 엣지를 C2 통신에 이용
HOOKEDGE의 특징은 마이크로소프트 엣지를 공격 통신에 활용한다는 점이다.
백도어가 실행되면 정상 웹서비스인 webhook.site에 접속해 공격자가 올려놓은 명령 파일을 내려받는다. 내려받은 명령을 감염된 PC에서 실행한 뒤 결과를 다시 webhook.site로 전송한다.
명령 수신과 정보 유출 과정에는 마이크로소프트 엣지가 헤드리스 모드나 숨겨진 창 형태로 실행됐다. 별도의 악성 네트워크 프로그램 대신 정상 웹브라우저를 사용하기 때문에 일반적인 웹 통신과 구분하기 어려울 수 있다.
공격자는 자체 명령제어 서버를 구축하지 않고 정상적인 webhook 서비스를 이용했다. webhook.site는 개발자가 HTTP 요청을 테스트할 때 사용하는 정상 서비스다. APT28은 이를 명령 전달과 공격 결과 수집, 추가 악성파일 전달에 악용했다.
중요 표적에는 5분 간격 2단계 백도어 투입
APT28은 모든 피해자를 같은 방식으로 관리하지 않았다.
초기 HOOKEDGE가 설치된 뒤 정보 가치가 높은 대상으로 판단되면 두 번째 HOOKEDGE를 추가 설치했다. 첫 단계가 약 30분 간격으로 공격자와 통신한 것과 달리 두 번째 단계에서는 최단 5분 간격으로 명령을 확인했다.
이를 통해 공격자는 중요 표적의 감염 시스템에서 명령을 빠르게 실행하고 결과를 수집할 수 있었다.
이 구조는 webhook.site 무료 서비스의 요청 횟수 제한과도 관련이 있다. 공격자는 초기 침투용 주소와 중요 표적을 관리하는 주소를 나눠 사용해 제한된 요청 횟수를 효율적으로 활용했다.
기존 HEADLACE의 후속 백도어로 분석
HOOKEDGE는 APT28이 과거 사용한 헤드레이스(HEADLACE) 백도어와 상당한 유사점이 확인됐다.
두 악성코드는 윈도우 배치 스크립트를 기반으로 작동하며 정상 웹서비스를 명령제어와 정보 유출에 악용한다. 숨겨진 브라우저를 이용해 통신하는 방식도 비슷하다.
두 번째 단계에서 내려받는 자바스크립트 코드에서는 HEADLACE에서 사용했던 변수명과 구조, Base64 처리 방식까지 공통점이 발견됐다. 이를 근거로 HOOKEDGE는 HEADLACE를 수정·발전시킨 후속 백도어로 분석됐다.
APT28은 이전에도 외교관을 겨냥한 HEADLACE 공격에서 webhook.site를 사용했다. 2024년 확인된 공격에서는 자동차 판매 광고로 위장한 피싱 미끼를 이용해 외교 관계자를 노렸다.
-행사명: 제14회 2026 대한민국 사이버보안 컨퍼런스(KCSCON 2026)
-일시: 2026년 9월 8일 화요일 오전 9시~오후 5시 30분
-장소: 서울 세종대학교 컨벤션센터 전관
-참석 대상: 공공·공기업·금융·의료·교육·일반기업 정보보호·개인정보보호 담당자 및 IT 실무자
-참석인원: 보안담당자 1,400여 명
-교육 인정: 정보보호·개인정보보호 교육 7시간
-보안기업 참가문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com
