북한 해킹 조직 Lazarus가 Windows의 제로데이 취약점(CVE-2026-68820)을 이용해 방위산업체를 대상으로 한 Operation Dream Job 캠페인을 전개한 사실이 밝혀졌다. Microsoft는 이번 달 보안 업데이트에서 해당 취약점을 패치했으며, 이 취약점은 Windows Ancillary Function Driver for WinSock(AFD.sys)의 use-after-free 문제로, 공격자가 로컬 권한을 상승시킬 수 있다. Lazarus는 7월 초부터 이 취약점을 활용해 왔으며, 유럽과 인도의 방위, 항공, 항공우주 기업을 대상으로 허위 채용 제안을 통해 공격을 시도했다.
Check Point의 분석에 따르면, Lazarus는 Windows 11 빌드 26100 및 26200을 지원하는 FudModule 커널 모드 루트킷의 새로운 버전에 해당 취약점 익스플로잇을 통합했다. 이 루트킷은 EDR 텔레메트리 비활성화, 보안 제품 방해, Smart App Control 변조 등 다양한 기능을 갖추고 있다. 또한, Lazarus는 Troy라는 새로운 백도어를 배포해 시스템 탐지, 파일 업로드 및 다운로드, 은밀한 명령 실행, 원격 프로세스 종료, 인메모리 DLL 인젝션 등 17가지 명령을 지원한다.
아울러, 연구진은 Roundcube 취약점을 노린 스캔과 RelayShell이라는 새로운 PHP 웹셸을 통한 추가 침해 사례도 확인했다. 공격자는 유출된 자격 증명을 이용해 Roundcube에 인증한 뒤, CVE-2025-49113 취약점을 악용해 원격 코드 실행 권한을 획득했다. 이번 캠페인은 군사 기술과 관련된 조직을 집중적으로 노렸으며, 남미와 서유럽 등 전 세계적으로 확산된 것으로 나타났다.
요약
- 북한 해킹 조직 Lazarus가 Windows 제로데이 취약점(CVE-2026-68820)을 이용해 방위산업체를 공격하였다.
- Microsoft는 해당 취약점을 이번 달 보안 업데이트에서 패치하였다.
- Lazarus는 FudModule 루트킷과 Troy 백도어 등 다양한 악성 도구를 활용해 권한 상승 및 정보 탈취를 시도하였다.
- Roundcube 취약점과 RelayShell 웹셸을 통한 추가 침해 사례도 발견되었다.
- 이번 캠페인은 군사 기술 관련 조직을 중심으로 전 세계적으로 확산되었다.
Reference
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.