북한 APT37, 페이스북 정찰→변조 설치파일→클라우드 유출 결합한 다단계 침투 공격 확인

• 북한 APT37이 페이스북→텔레그램→변조 설치파일→클라우드 유출로 이어지는 다단계 침투 작전을 벌인 정황이 확인됨
  • 이메일 대신 SNS를 초기 접근 통로로 썼고, 정상 소프트웨어 변조 + 이미지 파일 위장 + 합법 클라우드 서비스 악용을 조합해 탐지를 회피
  • 지니언스 시큐리티 센터(Genians Security Center) 분석 결과

sequenceDiagram
    participant 공격자 as 공격자 (APT37)
    participant 페이스북 as 페이스북
    participant 피해자 as 피해자
    participant 텔레그램 as 텔레그램
    participant C2 as C2 서버 (JPG 위장)
    participant 조호 as Zoho WorkDrive

    공격자->>페이스북: 평양/평성 출신 계정으로 친구 요청
    페이스북->>피해자: 군사 자료 제공 명목으로 신뢰 구축
    공격자->>텔레그램: 대화 채널 이동 유도
    텔레그램->>피해자: 암호화 PDF + "전용 뷰어" 설치 유도
    피해자->>피해자: 변조된 PDFelement 실행
    피해자->>C2: JPG 위장 요청으로 2차 페이로드 수신
    C2->>피해자: 파일리스 실행 (메모리 내)
    피해자->>조호: 문서/녹음파일 AES-256-CBC 암호화 후 유출

SNS 기반 신뢰 구축 — 이메일 피싱 아님

• 공격자는 북한 평양·평성 출신으로 표시된 페이스북 계정 2개(2025년 11월 10일 같은 날 생성)로 표적에게 접근
  • 친구 요청 → 메신저 대화로 관계 형성 → 군사 무기 자료 제공 명목으로 텔레그램 이동 유도
  • "암호화된 PDF를 열려면 전용 뷰어가 필요하다"는 프리텍스팅으로 악성 설치파일 실행을 유도함
  • 텔레그램 대화 속 '콤퓨터', '프로그람', '화일' 같은 북한식 외래어가 확인됨 — 공격 주체 배경의 언어적 단서

정상 프로그램 변조 — 디지털 서명이 없다

• 유포 파일은 원더쉐어 PDFelement 설치본과 거의 동일한 외형이었지만 핵심 차이가 있음
  • 파일명: Wondershare_PDFelement_Installer(PDF_Security).exe — 보안 강화판인 척 위장
  • 공식 파일에는 유효한 디지털 서명이 있지만 공격자 파일에는 서명 없음 → 변조 핵심 지표
• 엔트리 포인트만 조작해서 실행 시 악성 셸코드가 먼저 동작하고, 끝나면 정상 설치 흐름으로 복귀
  • 사용자 화면에는 PDFelement 설치가 정상적으로 진행되는 것처럼 보임
  • 셸코드는 코드 케이브(코드 영역 빈 공간)에 삽입 — 정적 분석과 파일 평판 기반 탐지를 우회하는 전형적 기법

dism.exe 프로세스 주입 + JPG 위장 C2

• 셸코드가 Windows 정상 도구 dism.exe를 일시 중단 상태로 만들어 메모리에 악성 코드를 주입
  • PEB를 통해 API 주소를 동적으로 찾고, 문자열도 실행 시점에 조립해서 정적 탐지 회피
  • C2 주소는 단일 바이트 XOR 암호화, 복호화 결과는 japanroom[.]com 도메인의 .jpg 파일 경로
• 다운로드된 .jpg는 이미지가 아님 — XOR 복호화 후 디스크 저장 없이 메모리에서 직접 실행(파일리스 방식)
  • MZ, PE 같은 실행 파일 식별 서명은 의도적으로 제거했지만 섹션 구조와 임포트 정보는 살아있어 자체 로더로 동작

Zoho WorkDrive로 정보 유출

• 2차 페이로드는 Zoho WorkDrive의 OAuth2 API를 악용해 명령 수신 + 정보 유출
  • 수집 대상: 컴퓨터명, OS 정보, 공인 IP, 프로세스 목록, 화면 캡처
  • 문서 파일(.DOC, .XLS, .PPT, .PDF, .HWP, .TXT) + 녹음 파일(.M4A, .AMR)까지 탈취
  • AES-256-CBC 암호화 후 전송 — 단순 침투가 아니라 정보 수집형 작전
• 바이너리 내부에 360 보안 제품 프로세스 확인 기능, OfficeUpdate.exe 위장 기능까지 포함 — 실제 운영형 공격 도구

APT37 귀속 근거

• 기존 RoKRAT 계열과 높은 코드 유사성, 과거 APT37의 스피어피싱·파일리스·클라우드 C2 전략과 일치
  • 페이스북 계정 2개가 같은 날 생성, Astrill VPN 연결 미국 IP가 반복 확인
  • "JinHyok" 디버깅 문자열 식별, Zoho 계열 서비스 악용 이력
• 지니언스는 EDR 중심 행위 기반 탐지를 강조 — "정상 프로그램 실행 → dism.exe 생성 → 메모리 주입 → 외부 통신 → 정보 유출" 전체 흐름을 하나의 공격 시나리오로 봐야 한다고 분석

기술 맥락

• 코드 케이브(Code Cave) 기법을 쓴 이유가 있어요. 정상 실행 파일의 빈 공간에 셸코드를 넣으면 파일 크기가 거의 안 변하고, 디지털 서명만 깨질 뿐 파일 구조 자체는 정상으로 보이거든요. 안티바이러스가 "이 파일 자체는 알려진 정상 프로그램"이라고 판단하면 통과시킬 수 있는 거예요
• dism.exe를 타깃으로 고른 것도 계산적이에요. Windows 시스템 도구라 화이트리스트에 올라가 있는 경우가 많고, 프로세스 목록에 떠도 관리자가 의심하기 어렵거든요. 이런 기법을 Living off the Land(LoTL)라고 부르는데, 공격자가 별도 도구를 안 가져오고 시스템에 이미 있는 걸 악용하는 방식이에요
• Zoho WorkDrive를 C2로 쓴 건 꽤 영리한 선택이에요. 합법적인 클라우드 서비스라 도메인 차단이 어렵고, OAuth2 인증을 쓰니까 트래픽도 정상적인 API 호출처럼 보이거든요. 기업 환경에서 Zoho를 아예 차단하기도 애매하고요
• 결국 이 공격의 핵심은 각 단계가 개별적으로는 정상처럼 보인다는 거예요. SNS 친구 추가, 프로그램 설치, 시스템 도구 실행, 클라우드 API 호출 — 하나하나 떼어놓으면 정상인데 흐름으로 연결하면 공격이에요. EDR이 행위 체인을 봐야 하는 이유가 정확히 이거예요