러시아 정부와 연계된 해킹 그룹 'Star Blizzard'(러시아 연방보안국 FSB 소속으로 추정)가 가짜 행사 초청장을 미끼로 위장한 이메일을 보내, Windows 컴퓨터에 백도어(정상적인 인증 절차를 우회해 몰래 시스템에 접근하는 악성코드)를 심는 공격을 벌이고 있습니다. 올해 1월 이후 미국과 영국을 중심으로 100개 이상의 조직이 표적이 되었고, 실제 감염 사례도 확인됐습니다. 공격자는 유명 싱크탱크 이름을 사칭한 초청 메일을 보내고, 답장을 하면 비밀번호로 보호된 압축파일과 악성 바로가기(LNK) 파일을 전달해 백도어 CosmicPulse를 설치합니다. 3월에는 일부 대상에게 아이폰용 익스플로잇(취약점 공격 도구)인 DarkSword로 연결되는 링크가 발견되기도 했습니다. Microsoft는 탐지 지표와 대응 가이드를 공개했으며, 발신자 주소 확인, SSH 아웃바운드 차단, 피싱에 강한 인증 방식 사용 등을 권고했습니다.
러시아 국가 배후 해킹 그룹 Star Blizzard가 가짜 행사 초청 이메일로 위장해 100개 이상 조직을 노리고 Windows 백도어 CosmicPulse를 유포했다.
미국·영국을 중심으로 우크라이나 관련 정부기관, NGO, 싱크탱크 등이 표적이 되었으며 최소 1대의 컴퓨터가 실제 감염됐다.
가짜 초청장에 포함된 PDF로 위장한 바로가기(LNK) 파일을 열면 악성 설치 프로그램(MSI)이 실행되어 예약 작업을 통해 백도어를 설치하는 방식이다.
Microsoft는 탐지 지표(IOC)와 헌팅 쿼리를 공개했고 표적이 된 고객에게 알림을 보냈으며, 조직들에게 발신자 주소 확인, 불필요한 SSH 아웃바운드 차단, 피싱 방지 인증 도입 등을 권고했다.
발신 이메일의 조직명이 도메인이 아닌 @ 앞부분에만 있는지 확인하고, 의심스러우면 알고 있는 연락처로 직접 확인해야 하며, iPhone은 iOS 26.3 이상으로 업데이트해야 한다.
본문
Microsoft에 따르면, Star Blizzard로 알려진 러시아 국가 배후 해커들이 가짜 행사 초청장을 이용해 사람들을 속여 Windows 컴퓨터에 백도어를 설치하도록 유도해왔습니다.
우크라이나와 관련된 사람과 조직을 겨냥한 이번 캠페인은 1월 이후 100개 이상의 조직에 영향을 미쳤으며, 대부분 미국과 영국에 있습니다. 최소 1대의 컴퓨터가 감염되었지만, 침해된 조직의 수는 공개되지 않았습니다.
미국, 영국, 호주, 캐나다, 뉴질랜드의 보안 기관들은 2023년 12월 Star Blizzard가 러시아 연방보안국(FSB) 산하 Center 18 소속일 가능성이 매우 높다고 밝힌 바 있습니다. 이 그룹은 오랫동안 표적이 아는 사람을 사칭해 이메일 비밀번호를 훔쳐왔습니다.
2023년경 이미 이 그룹은 가짜 컨퍼런스 및 행사 초청장을 미끼로 사용했으며, 종종 악성 링크를 보내기 전에 표적과 메시지를 주고받았습니다.
Microsoft는 올해 최소 13건의 대규모 캠페인을 확인했으며, 각각 수십에서 수백 통의 이메일이 발송됐고, 이는 그룹의 일상적인 표적형 피싱에 더해진 것입니다.
3월 이후 이 캠페인들은 WordPress와 cPanel 웹사이트의 이메일 계정을 사용했으며, Microsoft는 그룹이 이러한 목적으로 해당 사이트들을 해킹했다고 높은 확신을 가지고 있습니다. 이전에는 이 그룹이 주로 Proton과 같은 무료 이메일 서비스와 Microsoft 개인 계정을 사용했습니다.
2025년에는 이 그룹이 가짜 CAPTCHA 페이지를 통해 표적이 직접 명령을 실행하도록 속이는 방식, 즉 ClickFix로 알려진 방법으로 악성코드를 전달했습니다. 올해는 Microsoft가 RedFlick이라고 부르는 방법으로 전환했습니다. RedFlick은 Windows가 자동으로 실행하는 작업인 예약 작업(scheduled tasks)을 이용해 CosmicPulse라는 이름의 백도어를 설치합니다.
초청장에는 Chatham House나 Atlantic Council 같은 잘 알려진 싱크탱크나 NGO가 주최자로 등장합니다. 많은 이메일이 표적 조직 내부에서 보낸 것처럼 작성되어 있습니다.
첫 번째 이메일에는 보통 첨부파일이 없습니다. 표적이 답장을 보내면, 그룹은 비밀번호가 이미지로 표시된 비밀번호 보호 RAR 또는 ZIP 압축파일을 보냅니다.
1월과 2월의 초기 캠페인은 우크라이나 당국을 사칭해 우크라이나 이메일 서비스 Ukr.net 사용자들에게 가짜 세무 감사 및 벌금 통지서를 보냈습니다. 이후에는 키이우 호텔에 보내는 가짜 단수 통지서, 국제 금융기관 직원 대상 지급 통지서 등이 미끼로 사용됐습니다.
3월의 한 캠페인은 다르게 작동했습니다. Atlantic Council을 사칭한 초청장에 답장한 사람들은 Windows 백도어 대신 아이폰 익스플로잇 키트인 DarkSword로 연결되는 링크를 받았다고 Microsoft는 밝혔습니다.
Proofpoint는 3월에 이 그룹의 Atlantic Council 관련 이메일과 함께 이메일 발송량이 급증했다고 보고했습니다.
Trellix는 3월 26일 발송된 이러한 이메일 4건을 확인했습니다. 익스플로잇 페이지가 이미 오프라인 상태였고 익스플로잇 코드를 확보하지 못했기 때문에, 이 이메일들이 DarkSword로 이어졌다는 확신은 중간(medium) 수준이라고 밝혔습니다.
백도어는 어떻게 침투하는가
Microsoft는 감염 경로의 여러 버전을 추적했습니다. 모든 버전에서 PDF로 위장한 바로가기(LNK) 파일이 공격을 시작하며, Windows Installer(MSI) 패키지가 예약 작업을 설정합니다.
바로가기를 열면 원격 서버에서 설치 프로그램을 가져오는 명령이 조용히 실행됩니다. 1월에는 숨겨진 스크립트가 SSH 프로그램을 이용해 이를 다운로드했습니다. 7월에는 바로가기가 설치 프로그램을 가져오려는 숨겨진 명령이 포함된 PDF를 다운로드했습니다.
4월에 발견된 버전에서는 설치 프로그램이 정상적인 네트워크 구성 요소처럼 보이도록 이름 붙여진 3개의 예약 작업을 생성했습니다:
- Internet Quality Test Connection
- Network Configuration Manager
- System Health Monitor
첫 번째 작업은 컴퓨터 이름과 사용자 이름을 그룹의 명령제어(C2) 서버로 전송하며 원격에서 추가 코드를 실행할 수 있습니다. 두 번째는 웹 주소를 폴더처럼 열 수 있게 하는 Windows 기능인 WebDAV를 설정합니다. 세 번째는 Windows 제어판 프로그램인 control.exe를 이용해 C2 서버에서 다음 단계를 실행합니다.
다음 단계는 제어판 항목으로 위장한 다운로더입니다. 이는 파이썬 기반 백도어인 CosmicPulse를 설치합니다. 이 다운로더는 이전 보고서에서 NOROBOT 또는 BAITSWITCH로 불렸던 것입니다.
Microsoft는 이러한 기법들이 우크라이나 시민사회 단체를 표적으로 삼았던 6월 캠페인(Digital Security Lab Ukraine 보고)과 겹친다고 밝혔습니다. 이 캠페인은 우크라이나 재건 컨퍼런스(Ukraine Recovery Conference)를 사칭한 가짜 초청장을 사용했습니다. 해당 연구소는 공격자를 특정하지 않았으며 최종 페이로드도 확보하지 못했습니다.
The Hacker News의 비교 분석에 따르면 Microsoft의 목록과 6월 보고서 양쪽에 IP 주소 103.160.59[.]97과 도메인 secure-dns-hub[.]com이 공통으로 등장합니다. 다만 이 지표들을 공유한다고 해서 그 자체로 동일한 그룹이 두 캠페인을 운영했다는 것을 증명하지는 않습니다.
방어자가 확인해야 할 것
Microsoft는 이번 캠페인에 대한 헌팅 쿼리와 지표를 공개했으며, 우크라이나 정책과 관련되거나 이를 지원하는 정부 기관, NGO, 싱크탱크를 위한 조언도 함께 제공했습니다. 또한 표적이 되었거나 침해된 것으로 보이는 고객에게 알림을 보내고 있습니다.
Microsoft가 9월 29일 보고서를 발표할 당시, secure-dns-hub[.]com 도메인은 여전히 사용 중이었다고 회사는 밝혔습니다.
표적이 될 가능성이 있는 조직은 다음 조치를 취할 수 있습니다:
- 발신자 주소를 확인하세요. 이번 캠페인에서는 실제 조직 이름이 도메인이 아니라 @ 기호 앞에 나타납니다. 의심스러우면 이미 알고 있는 전화번호나 이메일 주소로 발신자에게 직접 연락하세요.
- 위에서 언급한 3개의 예약 작업 이름과 Microsoft Defender 탐지명인 Trojan:Script/RedFlick, Backdoor:Python/CosmicPulse를 검색하세요.
- Microsoft의 3개 Defender XDR 헌팅 쿼리는 공개된 대로라면 지난 7일만 조회하므로 조회 기간을 넓히세요. Defender의 고급 헌팅은 원시 데이터를 최대 30일만 보관하므로, 1월까지 거슬러 확인하려면 Microsoft Sentinel처럼 로그를 더 오래 보관하는 시스템이 필요합니다.
- 업무에 필요 없는 아웃바운드 SSH 연결을 차단하거나 제한하세요. 1월 버전은 설치 프로그램을 가져오는 데 SSH를 사용했습니다.
- Microsoft Defender를 사용한다면, 드물거나 새롭거나 신뢰할 수 없는 실행 파일 및 난독화된 스크립트를 차단하는 공격 표면 축소 규칙을 켜세요.
- 피싱에 강한 로그인 방식을 사용하세요. 이 그룹은 여전히 이중 인증(2FA)을 우회하기 위해 세션 쿠키까지 훔칠 수 있는 도구인 Evilginx로 비밀번호 피싱을 계속하고 있습니다.
- Trellix에 따르면 iPhone을 DarkSword가 악용하는 6개 취약점을 모두 수정한 iOS 26.3 이상으로 업데이트하고, 아직 불가능하다면 잠금 모드(Lockdown Mode)를 켜야 합니다.
Microsoft의 공개 보고서에는 예약 작업이 발견된 컴퓨터에 대한 구체적인 정리 절차는 나와 있지 않습니다. Defender XDR 고객은 권장 대응 조치가 포함된 회사의 위협 분석(threat analytics) 보고서를 확인할 수 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
