푸드모듈 루트킷의 업그레이드 버전 유포 위해 윈도우 커널 제로데이 취약점(CVE-2026-68820) 악용

[보안뉴스 원병철 기자] 북한 연계 해킹그룹 라자루스가 악명 높은 푸드모듈(FudModule) 루트킷의 업그레이드 버전을 유포하기 위해 윈도우 커널 제로데이 취약점(CVE-2026-68820)을 악용하다가 적발됐다고 보안업체 체크포인트 리서치가 밝혔다.

마이크로소프트는 체크포인트의 제보를 받은 후, 8월 패치 화요일(Patch Tuesday)을 통해 해당 결함을 긴급 수정했다.


[출처: gettyimagesbank]

공격자들은 국방, 항공우주, 항공 분야를 노린 ‘드림잡 작전’(Operation Dream Job) 일환으로 채용 담당자를 사칭하는 사회공학적 수법을 썼다.

라자루스는 정식 서명 소프트웨어를 악용한 ‘DLL 사이드로딩’(DLL Sideloading)과 트로이목마화(Trojanized)된 PDF 뷰어의 두 가지 방식으로 침투를 시도했다. 악성 뷰어 배포를 위해 검색엔진 최적화(SEO) 기술을 적용한 사칭 웹사이트를 개설해 보안 탐지를 우회하는 고도화된 수법을 사용했다.

최종 침투 단계에서 실행된 미스트펜(MISTPEN) 다운로더는 마이크로소프트 그래프 API(Microsoft Graph API)와 원드라이브(OneDrive)를 악용해 추가 악성 모듈을 시스템 내부로 들여왔다.

취약점 공격으로 최고 권한을 확보한 푸드모듈 v3.1(FudModule v3.1) 루트킷은 90개 이상의 윈도우 이벤트 추적 제공자(ETW Providers)와 스마트앱제어(Smart App Control) 기능을 전격 무력화했다.

해커들은 권한을 상승시킨 후 은밀한 정찰을 이어가며 신종 백도어인 트로이(Troy) 등을 주입해 시스템 제어권을 확보했다.

라자루스는 직접 서버를 구축하는 대신 취약한 웹메일 및 CMS 사이트에 릴레이셸(RelayShell)을 설치해 명령제어(C2) 트래픽을 일반 트래픽으로 위장했다.

이번 침해 사례를 분석한 체크포인트 보안 전문가들은 윈도우 11을 사용하는 기관들에 8월 정기 보안 패치를 즉시 적용하고, 외부 웹메일 서버로 나가는 네트워크 통신(Outbound Traffic)의 모니터링을 강화할 것을 당부했다.

[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>