세 개의 위협 그룹, 백도어·랜섬웨어·와이퍼로 러시아 기업 집중 공격

카스퍼스키(Kaspersky)가 발표한 다수의 보고서에 따르면, NightEagle, Hacking Cat, Toy Ghouls로 각각 추적되는 세 개의 위협 활동 클러스터가 러시아 기업들을 집중 공격 대상으로 삼고 있습니다.

이 사이버보안 업체는 적어도 2023년부터 활동해 온 위협 행위자 NightEagle(APT-Q-95라고도 알려짐)이 지속성 확보 및 내부 망 이동을 위한 새로운 기법을 활용한 공격을 식별했다고 밝혔습니다.

카스퍼스키가 오늘 공개한 분석에서 "대부분의 사고에서 공격자들은 탈취한 유효 자격증명을 사용해 기업 VPN에 접근했습니다"라고 설명했습니다. "VPN 연결은 Cloudflare WARP 터널과 연결된 러시아 구간 IP 주소와 유럽 가상 인프라 제공업체 IP 주소에서 시작됐습니다."

2025년 7월에 주목된 바 있는 이 공격들은 GhostContainer라는 공개된 모듈형 백도어를 배포합니다. 이 백도어는 공격자에게 피해자의 Microsoft Exchange Server에 대한 완전한 접근 권한을 부여하고, 임의 코드 실행, 파일 작업 수행, 추가 모듈 로드 기능을 제공합니다.

탐지를 피하기 위해 이 악성코드는 일반적인 서버 컴포넌트로 위장해 정상 운영 트래픽에 섞여 듭니다. 또한 트래픽 리다이렉션 또는 터널로도 동작할 수 있습니다. 이전에 이 악성코드를 활용한 공격은 아시아에 위치한 정부 기관과 첨단 기술 기업을 표적으로 삼았습니다.

카스퍼스키는 "Neo-reGeorg 터널, CVE-2020-0688 취약점 익스플로잇, ysoserial 유틸리티의 GhostWebShell 클래스 등 여러 오픈소스 프로젝트의 구성 요소들을 통합하고 있습니다. 이 구성 요소들은 모두 GitHub에 공개되어 있습니다"라고 설명했습니다.

공격자들이 GhostContainer를 Microsoft Exchange 서버에 전달하는 정확한 방법은 알려지지 않았습니다. 다만 서버의 ASP.NET 설정에서 암호화 키를 추출한 뒤, VIEWSTATE 프레임워크 파라미터를 덮어쓰고, 여기에 페이로드를 주입해 백도어를 메모리에서 실행하는 방식이 활용된 것으로 추정됩니다.

내부 망을 통한 횡적 이동(lateral movement)을 위해 NightEagle은 Microsoft dev 터널과 rdp2tcp라는 오픈소스 프로그램을 사용해 RDP를 통한 네트워크 트래픽을 리다이렉트하는 터널링 도구를 다운로드하는 것이 관찰됐습니다.

카스퍼스키는 "권한을 상승시키고 네트워크를 통해 횡적으로 이동하기 위해 NightEagle은 Active Directory의 다양한 취약점을 악용했습니다. 공격자들은 이미 구축된 터널을 사용해 내부 인프라 시스템에 접속했습니다"라고 덧붙였습니다.

여기에는 로컬 계정을 생성하고 Administrators 및 Remote Desktop Users 그룹에 추가하기 위해 CVE-2019-0708(BlueKeep이라고도 불림)을 악용하는 것도 포함됩니다. 나아가 공격자들은 DCSync 공격(도메인 컨트롤러를 사칭해 계정 해시를 탈취하는 기법)을 통해 도메인 컨트롤러를 사칭하려는 시도도 했습니다.

최종 목표는 피해자 인프라에 지속적인 거점을 확보하고, 도메인 계정의 패스워드 해시를 획득하며, 수명이 긴 Kerberos 티켓을 사용해 표적 리소스에 합법적으로 접근하고, 궁극적으로 도메인 컨트롤러와 피해자의 전체 Active Directory 인프라를 장악하는 것입니다.

친우크라이나 Hacking Cat, Gorilla RAT과 Monkey 랜섬웨어 배포

러시아 기업을 표적으로 삼은 두 번째 그룹은 Hacking Cat으로, 2024년 2월부터 웹사이트 변조 및 데이터 침해를 수행해 온 친우크라이나 핵티비스트(hacktivist) 단체입니다. 그러나 최근 몇 달 사이 이 그룹은 전술을 전환해 암호화 및 파괴적 공격으로 방향을 바꾼 것으로 알려졌습니다.

카스퍼스키는 "Hacking Cat은 Cyber Anarchy Squad, Ukrainian Cyber Alliance 등 다른 핵티비스트들과 적극적으로 협력하는데, 이는 특정 도구의 귀속을 복잡하게 만들 수 있습니다"라고 밝혔습니다.

이 그룹이 수행한 공격들은 Exchange 서버의 취약점(예: CVE-2021-26855, CVE-2026-42897)을 악용해 Gorilla RAT이라는 Go 언어 기반 원격 접근 트로이목마(RAT)를 배포합니다. Gorilla RAT은 트래픽 터널링을 통해 공격자가 피해자의 내부 네트워크에 접근할 수 있게 합니다.

실행되면 악성코드는 원격 서버와 연결을 맺고 피해자를 등록한 뒤, 임의 명령 실행, 프로세스 열거, 시스템 정보 수집, 파일 업로드·다운로드, TCP 터널 열기·닫기 등의 추가 명령을 대기합니다.

이 위협 행위자는 Windows, Linux, VMware ESXi 시스템을 표적으로 하는 Monkey라는 랜섬웨어 계열의 다양한 변종도 배포합니다. 이 변종들은 Rust, .NET, C++, Golang으로 작성되었습니다. 가장 초기의 Monkey 랜섬웨어 샘플은 2025년 여름 말로 거슬러 올라갑니다. 이 악성코드는 암호화 과정을 시작하기 전에 불필요한 프로세스를 종료하고 시스템 복구를 방해하는 조치를 취합니다.

카스퍼스키는 "Rust 기반 Monkey 랜섬웨어 변종은 32바이트 키를 생성하고 ChaCha20-Poly1305 알고리즘으로 피해자의 파일을 암호화합니다. 일부 변종은 키를 어디에도 저장하지 않아 사실상 완전한 와이퍼(파일 영구 파괴) 악성코드로 동작하면서도 랜섬 노트는 남깁니다. 반면 다른 변종들은 키를 저장하지만 노트에 연락처 정보를 포함하지 않습니다"라고 설명했습니다.

나머지 세 변종에 걸쳐 공통적으로 나타나는 주요 기능은 아래와 같습니다.

• .NET 변종은 32바이트 키를 생성해 C2(명령·제어) 서버로 전송하고, AES-256-CBC로 피해자 파일을 암호화합니다. 권한 상승 및 Windows 복구 메커니즘 비활성화, Microsoft Outlook 자격증명 추출 후 C2 서버 전송, .bak·.backup·.bkf·.bck 확장자 파일 삭제, 실행 후 자기 삭제 기능을 갖추고 있습니다.
• C++ 변종은 유사한 기능을 제공하지만, 예약 작업 또는 RunOnce 레지스트리 키를 통한 지속성 확보, 시스템 로그 삭제, 로깅 비활성화, PowerShell 명령 기록 및 Windows 명령 프롬프트 이력 삭제, AMSI(악성코드 스캔 인터페이스) 우회, ETW(Windows 이벤트 추적) 비활성화, 암호화 도구에 대한 Microsoft Defender 예외 설정, 작업 관리자 및 Windows 명령 프롬프트 비활성화를 위한 레지스트리 수정, api.ipify[.]org 및 ipapi[.]co를 통한 공인 IP 조회, 다수의 백업·데이터베이스·복구 메커니즘(VSS 포함) 비활성화 기능을 추가로 포함합니다.
• Golang 변종은 주로 Linux 및 ESXi 시스템을 표적으로 하며, crontab 항목을 통해 지속성을 확보하고 SELinux와 AppArmor를 비활성화하며 볼륨 섀도 복사본 삭제를 시도합니다.

카스퍼스키는 "[Golang] 버전은 Linux 및 ESXi 환경에서는 아무 의미가 없는 섀도 볼륨 복사본 삭제 기능을 포함하고 있는데, 이는 공격자들이 부주의했거나 도구 개발에 AI를 활용했을 가능성을 시사합니다"라고 추정했습니다.

Hacking Cat은 또한 또 다른 친우크라이나 핵티비스트 그룹인 Cyber Anarchy Squad와 협력해 배치 스크립트(batch script)를 통해 ClearWater라는 별도 랜섬웨어를 배포한 것으로도 관찰됐습니다. ClearWater는 친우크라이나 핵티비스트 그룹들에게 RaaS(랜섬웨어-서비스형) 방식으로 배포되는 것으로 평가됩니다.

Ukrainian Cyber Alliance와의 또 다른 협력 작전에서는 파일을 무작위 바이트로 덮어쓰고, 남은 디스크 여유 공간을 무작위 영숫자 이름과 .lock 확장자를 가진 파일로 채우는 와이퍼 악성코드 Nemo Wiper를 배포한 것으로 알려졌습니다.

카스퍼스키는 "여러 핵티비스트 그룹들이 다단계 감염 체인을 포함한 동일한 자체 제작 도구를 서로 다른 공격에 사용하고 있습니다. 이는 이러한 도구들의 공통된 출처, 예컨대 악성코드를 개발·유지·수정해 다양한 핵티비스트 그룹들이 사용할 수 있도록 제공하는 개발자 또는 소규모 개발 그룹이 존재할 가능성을 시사합니다"라고 지적했습니다.

그러나 보고서 공개 이후 Hacking Cat은 자신들의 텔레그램 채널에 "일부 도구들은 우리 것이지만, 로커(locker)들은 절대 우리 것이 아니다"라고 게시했습니다. 또한 카스퍼스키가 전혀 관계없는 행위자들의 도구를 자신들에게 귀속시키고 있으며 "그룹에 대한 리버스 엔지니어링(역공학 분석)을 더 잘 배워야 한다"고 주장했습니다.

Toy Ghouls, 처음으로 자체 제작 백도어 배포

러시아 기업을 표적으로 삼는 그룹의 마지막은 Toy Ghouls(Bearlyfy, Laboo.boo, Feral Wolf라고도 불림)입니다. 이 그룹은 유출된 Babuk 및 LockBit 랜섬웨어 빌더 사용에서 자체 개발한 GenieLocker 랜섬웨어로, 그리고 이제는 맞춤형 백도어로 전환했습니다. 2025년부터 활동 중인 것으로 알려진 이 그룹은 금전적 동기를 가진 것으로 평가됩니다.

2026년 7월 처음 탐지된 이 백도어는 두 가지 변종으로 나타납니다.

• C2에 HiveMQ MQTT 브로커를 사용하는 mqtt-bird-agent 0.1.0
• C2에 Matrix 기반 엔드투엔드 암호화 메신저 앱인 Element를 사용하는 matrix-bird-agent 0.1.0

카스퍼스키는 "이번 캠페인에서 공격자들은 Windows 원격 관리(WinRM)를 사용해 백도어와 설정 파일을 손상된 시스템에 전달합니다. 이를 위해 Evil-WinRM, WinRM-fs 등의 오픈소스 도구를 활용합니다"라고 설명했습니다.

Bird Agent 백도어는 대화형 커맨드라인 세션 내에서 실행되거나 Windows 서비스로 지속성을 확보할 수 있습니다. 실행 후 동일 디렉터리에서 설정 파일("config.toml")을 찾습니다. 또는 실행 시 "-c" 또는 "--config" 옵션으로 파일의 전체 경로를 직접 지정할 수도 있습니다.

이후 악성코드는 파일을 읽고, Windows 레지스트리에 저장된 피해자 시스템의 MachineGuid 값에서 파생된 키로 파일을 부분적으로 암호화해 설정을 해당 시스템에 바인딩합니다. 이후 실행 시 설정을 복호화할 수 없으면 백도어는 실행을 중단합니다.

사용된 변종에 따라 설정에는 HiveMQ MQTT 브로커와 통신하는 데 사용되는 클러스터 식별자, 또는 해당 룸에 접근하는 데 필요한 액세스 토큰과 함께 Element 내부 룸 식별자가 포함됩니다. 이 파라미터가 비어 있으면 설치 중에 토큰을 입력하도록 설계되어 있으며, 이후 저장됩니다.

연결이 확립되면 백도어는 시스템 정보를 전송하고, HiveMQ 브로커에 HTTP GET 요청을 보내 C2 서버의 명령을 가져오고, 이를 숨김 모드(-NonInteractive -NoProfile -Command)에서 PowerShell을 통해 실행한 뒤 결과를 서버로 전송합니다.

Element 기반 Bird Agent 변종은 HiveMQ 버전과 기능적으로 유사하며, 주요 차이점은 수신된 명령을 Windows CLI(명령줄 인터페이스)를 통해 실행하고 명령 결과를 C2 서버로 전송한다는 점입니다.

카스퍼스키는 "새로운 도구들은 HiveMQ MQTT 브로커와 Matrix 기반 Element 메신저라는 비일반적인 채널을 사용해 C2 서버와 통신합니다. 공개된 오픈소스 프로젝트에서 맞춤형 도구로의 이러한 전환은 Toy Ghouls가 공격을 더 정교하게 만들고 더 오랫동안 탐지를 회피하기 위해 노력하고 있음을 시사합니다"라고 밝혔습니다.