이번 공격의 차별점

라자루스는 2020년부터 드림 잡 작전을 펼쳐왔지만, 이번 웨이브에서는 세 가지 중요한 기술적 업그레이드가 발견됐습니다 :

1. 알려지지 않은 윈도우 제로데이 (CVE-2026-68820): AFD.sys 드라이버의 취약점을 악용했습니다.
2. 양자 내성 키 교환: Kyber/ML-KEM을 사용해 명령 및 제어(C2) 트래픽을 암호화했습니다.
3. 새로운 모듈형 백도어 '트로이': 피해자의 서버를 탈취해 C2 인프라로 사용했습니다 .

공격 체인: 단계별 분석

1. 가짜 채용 제안을 통한 사회공학 공격

공격자들은 링크드인(LinkedIn) 등 전문가 네트워크 플랫폼에서 락히드 마틴(Lockheed Martin)이나 개인정보보호 기술 기업인 엔베일(Enveil)의 채용 담당자로 위장해 접근했습니다 . 피해자에게는 채용 공고와 '면접 자료'를 다운로드할 수 있는 링크가 전달됐습니다. 두 가지 병렬적인 감염 경로가 사용됐습니다 :

• 경로 A (DLL 사이드로딩): 피해자는 합법적이고 디지털 서명된 PDF 뷰어 실행 파일, 악성 DLL(libmupdf.dll), 그리고 .pdf.enc 확장자의 암호화된 페이로드가 포함된 ZIP 압축 파일을 다운로드합니다. PDF 뷰어가 실행되면 악성 DLL이 사이드로딩되어 가짜 PDF를 화면에 보여주는 동시에 암호화된 페이로드를 조용히 복호화하고 실행합니다 .
• 경로 B (위장된 PDF 뷰어): 피해자는 SecurityPDF라는 가짜 애플리케이션을 다운로드합니다. 이 앱은 MuPDF 기반의 합법적인 PDF 뷰어로 위장했으며, 특별히 제작된 PDF 파일을 열 때 악성 코드가 실행됩니다 .

2. 양자 내성 암호화로 C2 채널 보호

초기 로더가 실행되면, 시스템 정보를 수집하는 모듈이 명령 서버에 접속해 4개의 공개 키를 요청했습니다. 이 모듈은 미국 국립표준기술연구소(NIST)가 표준화한 양자 내성 키 캡슐화 메커니즘인 Kyber / ML-KEM을 사용해 새로운 키 자료를 생성하고, 공유 비밀을 캡슐화한 결과를 서버로 보낸 후 실제 익스플로잇 페이로드를 요청했습니다 .

이는 라자루스가 익스플로잇 전달을 보호하기 위해 양자 내성 암호화를 사용한 최초의 사례입니다. 이 기술 덕분에 네트워크 트래픽이 가로채이더라도, 고전적인 컴퓨터나 양자 컴퓨터를 사용한 공격자도 C2 채널을 복호화할 수 없습니다 .

3. 제로데이 취약점: CVE-2026-68820 (AFD.sys)

전달된 페이로드는 CVE-2026-68820 취약점을 익스플로잇했습니다. 이는 Windows AFD.sys(Ancillary Function Driver)에서 발생하는 사용 후 해제(Use-After-Free) 경쟁 조건(Race Condition) 취약점입니다. AFD.sys는 윈도우 커널 모드에서 Winsock(네트워크 소켓) 작업을 처리하는 핵심 드라이버입니다 . 주요 기술적 세부 사항은 다음과 같습니다:

• CVSS 점수: 7.0 (높음)
• 전제 조건: 공격자는 이미 초기 로더를 통해 로컬에서 코드를 실행할 수 있어야 합니다
• 익스플로잇 메커니즘: 경쟁 조건에서 승리해야 커널 메모리를 성공적으로 해제하고 재할당할 수 있으며, 이를 통해 커널 오브젝트를 변조하고 SYSTEM 권한으로의 로컬 권한 상승을 달성합니다
• 반복된 공격 벡터: 이는 2022년 이후 라자루스가 최소 4차례 악용한 동일한 드라이버(AFD.sys) 로, 지속적인 공격 표면으로 지목됐습니다 .

4. FudModule 커널 루트킷 배포

SYSTEM 권한을 획득한 후, 익스플로잇은 라자루스의 시그니처 커널 모드 루트킷인 FudModule의 업그레이드된 버전을 배포했습니다 . 이번 버전(v3.1)은 윈도우 11 빌드 26100 및 26200을 지원했습니다 . FudModule은 완전한 커널 접근 권한을 이용해 다음과 같은 작업을 수행했습니다:

• 커널 수준에서 EDR(엔드포인트 탐지 및 대응) 도구 비활성화
• 커널 콜백 및 프로세스 모니터링 조작을 통한 보안 제품 눈가림
• 지속성 확보 및 추가 모듈형 백도어(MISTPEN, Troy) 설치

5. 트로이 백도어와 탈취된 인프라

최종 단계에서는 새로 발견된 모듈형 원격 접근 도구인 트로이(Troy) 백도어가 사용됐습니다. 놀랍게도, 트로이의 명령 인프라는 거의 전적으로 탈취된 합법적인 서버로 구성됐습니다. 공격자들은 자체 인프라를 구축하지 않고 다른 조직의 서버를 해킹해 사용했습니다 .

표적 국가 및 분야

대응 및 완화 조치

마이크로소프트의 패치

• 마이크로소프트는 2026년 8월 11일(패치 화요일) 에 CVE-2026-68820을 포함한 398개의 CVE를 수정하는 업데이트를 출시했습니다
• 이번 수정은 체크포인트 리서치의 책임 있는 공개에 따른 것입니다
• 마이크로소프트는 CVE-2026-68820을 해당 월 업데이트에서 유일하게 활발히 악용된 취약점으로 표시했습니다

CISA 긴급 지시

• 미국 사이버보안 및 인프라 보안국(CISA)은 모든 미국 연방 행정 기관(FCEB)에 CVE-2026-68820을 해결하도록 의무적인 긴급 지시(Emergency Directive) 를 발령했습니다
• 기관들은 2026년 8월 25일까지 패치를 적용해야 합니다
• CISA는 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가하여 모든 연방 기관에 조치를 의무화하고 민간 기관에도 조치를 권고했습니다

조직을 위한 권장 조치

• 마이크로소프트의 2026년 8월 패치 화요일 업데이트를 즉시 적용하고, 특히 CVE-2026-68820에 우선 순위를 두십시오.
• 비정상적인 AFD.sys 활동, 예상치 못한 커널 드라이버 로드, EDR 변조 징후를 모니터링하십시오.
• 직원들에게 가짜 채용 공고와 위장된 문서 뷰어의 위험성을 교육하십시오.
• 예상치 못한 채널에서의 Kyber/ML-KEM 키 교환 트래픽을 탐지할 수 있는 네트워크 수준의 보안을 구현하십시오.

왜 중요한가

이번 캠페인은 이미 가장 활발한 국가 지원 해킹 그룹 중 하나인 라자루스가 기술적 정교함을 한층 더 끌어올렸음을 보여줍니다. 익스플로잇 전달을 보호하기 위해 양자 내성 암호화를 사용한 것은 라자루스가 방어 기술을 주시하고 있을 뿐만 아니라 미래에도 통할 공격 기술에 투자하고 있음을 시사합니다. 2022년 이후 최소 4차례나 동일한 AFD.sys 드라이버를 반복해서 공격한 것은 마이크로소프트가 사후 대응 방식으로 패치를 지속하는 윈도우 커널의 지속적인 취약점을 보여줍니다 .

이번 공격의 차별점

라자루스는 2020년부터 드림 잡 작전을 펼쳐왔지만, 이번 웨이브에서는 세 가지 중요한 기술적 업그레이드가 발견됐습니다 :

1. 알려지지 않은 윈도우 제로데이 (CVE-2026-68820): AFD.sys 드라이버의 취약점을 악용했습니다.
2. 양자 내성 키 교환: Kyber/ML-KEM을 사용해 명령 및 제어(C2) 트래픽을 암호화했습니다.
3. 새로운 모듈형 백도어 '트로이': 피해자의 서버를 탈취해 C2 인프라로 사용했습니다 .

공격 체인: 단계별 분석

1. 가짜 채용 제안을 통한 사회공학 공격

공격자들은 링크드인(LinkedIn) 등 전문가 네트워크 플랫폼에서 락히드 마틴(Lockheed Martin)이나 개인정보보호 기술 기업인 엔베일(Enveil)의 채용 담당자로 위장해 접근했습니다 . 피해자에게는 채용 공고와 '면접 자료'를 다운로드할 수 있는 링크가 전달됐습니다. 두 가지 병렬적인 감염 경로가 사용됐습니다 :

• 경로 A (DLL 사이드로딩): 피해자는 합법적이고 디지털 서명된 PDF 뷰어 실행 파일, 악성 DLL(libmupdf.dll), 그리고 .pdf.enc 확장자의 암호화된 페이로드가 포함된 ZIP 압축 파일을 다운로드합니다. PDF 뷰어가 실행되면 악성 DLL이 사이드로딩되어 가짜 PDF를 화면에 보여주는 동시에 암호화된 페이로드를 조용히 복호화하고 실행합니다 .
• 경로 B (위장된 PDF 뷰어): 피해자는 SecurityPDF라는 가짜 애플리케이션을 다운로드합니다. 이 앱은 MuPDF 기반의 합법적인 PDF 뷰어로 위장했으며, 특별히 제작된 PDF 파일을 열 때 악성 코드가 실행됩니다 .

2. 양자 내성 암호화로 C2 채널 보호

초기 로더가 실행되면, 시스템 정보를 수집하는 모듈이 명령 서버에 접속해 4개의 공개 키를 요청했습니다. 이 모듈은 미국 국립표준기술연구소(NIST)가 표준화한 양자 내성 키 캡슐화 메커니즘인 Kyber / ML-KEM을 사용해 새로운 키 자료를 생성하고, 공유 비밀을 캡슐화한 결과를 서버로 보낸 후 실제 익스플로잇 페이로드를 요청했습니다 .

이는 라자루스가 익스플로잇 전달을 보호하기 위해 양자 내성 암호화를 사용한 최초의 사례입니다. 이 기술 덕분에 네트워크 트래픽이 가로채이더라도, 고전적인 컴퓨터나 양자 컴퓨터를 사용한 공격자도 C2 채널을 복호화할 수 없습니다 .

3. 제로데이 취약점: CVE-2026-68820 (AFD.sys)

전달된 페이로드는 CVE-2026-68820 취약점을 익스플로잇했습니다. 이는 Windows AFD.sys(Ancillary Function Driver)에서 발생하는 사용 후 해제(Use-After-Free) 경쟁 조건(Race Condition) 취약점입니다. AFD.sys는 윈도우 커널 모드에서 Winsock(네트워크 소켓) 작업을 처리하는 핵심 드라이버입니다 . 주요 기술적 세부 사항은 다음과 같습니다:

• CVSS 점수: 7.0 (높음)
• 전제 조건: 공격자는 이미 초기 로더를 통해 로컬에서 코드를 실행할 수 있어야 합니다
• 익스플로잇 메커니즘: 경쟁 조건에서 승리해야 커널 메모리를 성공적으로 해제하고 재할당할 수 있으며, 이를 통해 커널 오브젝트를 변조하고 SYSTEM 권한으로의 로컬 권한 상승을 달성합니다
• 반복된 공격 벡터: 이는 2022년 이후 라자루스가 최소 4차례 악용한 동일한 드라이버(AFD.sys) 로, 지속적인 공격 표면으로 지목됐습니다 .

4. FudModule 커널 루트킷 배포

SYSTEM 권한을 획득한 후, 익스플로잇은 라자루스의 시그니처 커널 모드 루트킷인 FudModule의 업그레이드된 버전을 배포했습니다 . 이번 버전(v3.1)은 윈도우 11 빌드 26100 및 26200을 지원했습니다 . FudModule은 완전한 커널 접근 권한을 이용해 다음과 같은 작업을 수행했습니다:

• 커널 수준에서 EDR(엔드포인트 탐지 및 대응) 도구 비활성화
• 커널 콜백 및 프로세스 모니터링 조작을 통한 보안 제품 눈가림
• 지속성 확보 및 추가 모듈형 백도어(MISTPEN, Troy) 설치

5. 트로이 백도어와 탈취된 인프라

최종 단계에서는 새로 발견된 모듈형 원격 접근 도구인 트로이(Troy) 백도어가 사용됐습니다. 놀랍게도, 트로이의 명령 인프라는 거의 전적으로 탈취된 합법적인 서버로 구성됐습니다. 공격자들은 자체 인프라를 구축하지 않고 다른 조직의 서버를 해킹해 사용했습니다 .

표적 국가 및 분야

대응 및 완화 조치

마이크로소프트의 패치

• 마이크로소프트는 2026년 8월 11일(패치 화요일) 에 CVE-2026-68820을 포함한 398개의 CVE를 수정하는 업데이트를 출시했습니다
• 이번 수정은 체크포인트 리서치의 책임 있는 공개에 따른 것입니다
• 마이크로소프트는 CVE-2026-68820을 해당 월 업데이트에서 유일하게 활발히 악용된 취약점으로 표시했습니다

CISA 긴급 지시

• 미국 사이버보안 및 인프라 보안국(CISA)은 모든 미국 연방 행정 기관(FCEB)에 CVE-2026-68820을 해결하도록 의무적인 긴급 지시(Emergency Directive) 를 발령했습니다
• 기관들은 2026년 8월 25일까지 패치를 적용해야 합니다
• CISA는 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가하여 모든 연방 기관에 조치를 의무화하고 민간 기관에도 조치를 권고했습니다

조직을 위한 권장 조치

• 마이크로소프트의 2026년 8월 패치 화요일 업데이트를 즉시 적용하고, 특히 CVE-2026-68820에 우선 순위를 두십시오.
• 비정상적인 AFD.sys 활동, 예상치 못한 커널 드라이버 로드, EDR 변조 징후를 모니터링하십시오.
• 직원들에게 가짜 채용 공고와 위장된 문서 뷰어의 위험성을 교육하십시오.
• 예상치 못한 채널에서의 Kyber/ML-KEM 키 교환 트래픽을 탐지할 수 있는 네트워크 수준의 보안을 구현하십시오.

왜 중요한가

이번 캠페인은 이미 가장 활발한 국가 지원 해킹 그룹 중 하나인 라자루스가 기술적 정교함을 한층 더 끌어올렸음을 보여줍니다. 익스플로잇 전달을 보호하기 위해 양자 내성 암호화를 사용한 것은 라자루스가 방어 기술을 주시하고 있을 뿐만 아니라 미래에도 통할 공격 기술에 투자하고 있음을 시사합니다. 2022년 이후 최소 4차례나 동일한 AFD.sys 드라이버를 반복해서 공격한 것은 마이크로소프트가 사후 대응 방식으로 패치를 지속하는 윈도우 커널의 지속적인 취약점을 보여줍니다 .