3줄 요약
1. 10년 전 사라진 줄 알았던 고급 APT 조직의 활동이 10년 만에 다시 발견됨.
2. 이 조직의 이름은 카레토 혹은 마스크로, 최근에는 남미 지역을 공략하고 있었음.
3. 그 누구도 사용하지 않는 독특한 해킹 기법을 고안해 사용할 정도로 강력하고 독특한 그룹.

[보안뉴스 문가용 기자] 보안 업체 카스퍼스키(Kaspersky)가 오랜만에 활동을 시작한 APT 조직을 하나 발견했다. 카스퍼스키가 이 조직의 활동을 목격한 건 10년 만이라고 한다. 그 10년 동안 이들이 긴 겨울잠을 자고 있었던 것인지, 아니면 너무 은밀히 움직여 포착되지 않은 것인지는 아직 명확히 알 수 없다. 이렇든 저렇든 이들의 이름이 다시 보안 전문가들 사이에서 화제가 되기 시작한 건 분명하다. 이 조직의 이름은 카레토(Careto) 혹은 마스크(The Mask)이다.


[이미지 = gettyimagesbank]

현재까지 알려진 바에 의하면 카레토는 최소 2007년부터 활동을 해온 고도의 실력자들이다. 주로 정부, 외교, 학술 기관 등을 노려왔다. 제로데이 취약점을 익스플로잇 함으로써 복잡한 악성 코드를 심기도 하는 등 기술적으로도 남다른 행보를 보였다. 이런 카레토를 카스퍼스키가 마지막으로 추적한 것은 2014년 초의 일이며, 그 이후부터는 한 번도 발견한 적이 없다고 한다.

10년 만에
카레타라는 조직이 슬슬 잊혀질 때 즈음, 카스퍼스키는 한 사이버 보안 사건과 조우하게 됐다. 그 중 하나는 2022년에 발생한 사건이었다. 남미의 한 조직을 겨냥해서 시행된 이 공격은 2014년의 기억을 떠올리기에 충분할 정도로 카레토와 닮아 있었다.(아직 카레토의 부활을 확신한 건 아니다.) “최초 침투 방법에 대해서는 알아내지 못했습니다. 하지만 침투 후 공격자들은 피해자 조직의 엠데몬(MDaemon) 이메일 서버에 접근했는데, 월드클라이언트(WorldClient)라는 엠데몬 웹메일의 구성 요소를 이용하는 독특한 모습을 보여주었습니다.”

그 후 공격자는 피해자 조직에서부터 정보를 수집했다. 최초 침투 경로가 된 장비에서만이 아니라 횡적 움직임을 통해 같은 네트워크 내 다른 시스템으로도 들어가 정보를 빼돌렸다. “공격자는 다른 기기로 옮겨가기 위해 네 가지 파일을 업로드한 후 연쇄적으로 활용해 공격을 이어갔습니다. 그리고 악성 DLL을 여러 프로세스에 주입함으로써 공격 지속성을 확보하기도 했습니다.”

그런데 이와 비슷한 공격이 2024년에도 있었다. 두 개의 사건은 매우 닮아 있었다. 게다가 이 공격들에서 사용된 악성 페이로드가, 이전까지 한 번도 발견되거나 보고된 적이 없는 새 임플란트라는 걸 알아낼 수 있었다. 카스퍼스키의 연구원들은 이를 페이크HMP(FakeHMP)라고 부르기 시작했다. “피해자의 파일 시스템에서 파일을 검색하고, 키로깅을 실시하고, 스크린샷을 캡처하고, 감염된 기기에 추가 페이로드를 설치하는 등의 기능을 수행할 수 있는 멀웨어였습니다. 공격자는 페이크HMP 말고도 또 다른 정보 탈취 도구들을 사용하기도 했습니다.”

이렇게 2022년 사건과 2024년 사건을 조사하다가, 2022년에 감염됐던 피해 조직이 2019년에도 고차원적인 공격에 당한 적이 있다는 것을 알게 됐다. 이 2019년 공격을 실시한 공격자들이 사용한 악성 프레임워크도 발견됐는데, 바로 카레토2(Careto2)와 고레토(Goreto)였다. “2019년 공격에서 공격자들은 2022년과 마찬가지로 작업 스케줄러를 활용해 악성 파일을 실행했으며, 이를 통해 프레임워크가 감염된 기기에 지속적으로 남아 있을 수 있도록 꾀했습니다.”

카레토2 프레임워크는 특정 파일 시스템에 저장된 플러그인을 읽도록 설계된 것으로 분석됐다. “각 플러그인의 이름은 DLL의 본래 이름을 해싱 처리해서 나온 것이라는 걸 파악했고, 이를 통해 플러그인 이름을 역으로 추측해낼 수 있었습니다.” 고레토는 고 언어로 코딩된 도구 세트였다. 구글 드라이브 스토리지에 주기적으로 접속해 악성 명령을 가져오는 행동 패턴을 보였다고 한다.

먼 과거와 가까운 과거
2019~2024년 사이에 일어난 사건들과 2007~2014년 사이에 일어난 사건들 사이에는 대표적으로 다음과 같은 유사성이 있었다고 카스퍼스키는 정리한다.
1) 2022년에 감염된 조직(즉, 이번 조사의 시작이 된 조직)은 2019년에 카레토2에 감염됐다. 그런데 이 조직은 2007년과 2013년 사이에도 카레토라는 조직의 악성 코드에 의해 피해를 입었던 경험이 있었다.
2) 2019년의 공격과 2022년의 공격 모두에서 ~dfae01202c5f0dba42.cmd라는 이름의 악성 파일이 발견됐다. 기능도 같았다.
3) 데이터 유출을 위해 클라우드 스토리지를 사용했다거나, 시스템 프로세스를 적극적으로 활용하는 등 전략적인 측면에서도 닮은 점이 많았다.

“정말 오랜만에 만나는 해킹 그룹입니다. 10년 만에 처음 그 뒤를 쫓게 되었는데, 카레토는 여전히 카레토였습니다. 강력한 예전 모습 그대로를 유지하고 있더군요. 엠데몬 이메일 서버를 활용해 공격 지속성을 확보하고, 다른 소프트웨어의 정상 드라이버를 활용해 악성 임플란트를 심는 등 아무도 사용하지 않는 이들만의 공격 기법을 선보인 것도 카레토 다웠습니다. 이런 고급 공격을 고안하는 데에 얼마나 많은 시간이 걸리는지는 모르고, 그러므로 다음에 카레토가 또 나타날 때가 언제즘이 될지 예상할 수 없습니다만, 그들이 그때에도 강력할 것이라는 건 벌써 알 수 있습니다.”

10년 만에 뒤를 밟힌 APT 그룹 카레토에 관한 보다 상세한 정보와 분석 과정은 다음 주 목요일(26일)에 발간되는 보안뉴스 프리미엄 리포트를 통해 공개될 예정입니다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>