사이버보안 업체는 왜 해킹 그룹에 코드명을 붙일까

코드명은 법적 신원을 입증하거나 공식적인 법 집행 기관의 귀속(attribution) 결과가 나오기 훨씬 전에, 사이버보안 연구자들이 악성 활동 클러스터를 공유하고 지속적으로 추적할 수 있는 '지속적인 닻(persistent anchor)' 역할을 하기 위해 존재한다 . Google GTIG의 CTO(최고기술책임자) 셰인 헌틀리(Shane Huntley)는 인터뷰에서 코드명이 분석가들로 하여금 조직, 대륙, 산업을 넘어 즉시 동일한 적에 대한 인텔리전스를 공유할 수 있게 해준다고 설명했다 . 적절히 명명된 그룹은 분산된 IP 주소, 악성코드 서명, 관찰된 전술 등을 수년간 연구 가능한 추적 가능한 개체로 전환시킨다 .

해킹 그룹이 영구적인 이름을 받기 전에는 일반적으로 UNC(미분류, Uncategorized) 라벨과 숫자 식별자(예: UNC1878)로 지정되는 임시 추적 클러스터로 시작한다 . 충분한 증거가 축적된 후에야 비로소 명명된 코드명을 부여받는다.

분열의 문제: 동일한 위협에 너무 많은 이름

위협 환경의 성장은 기존 방식을 압도했다. 구글의 수석 분석가 존 헐트퀴스트(John Hultquist)는 회사가 현재 여러 국가에 걸쳐 **5,000개 이상의 '활동 클러스터'**를 추적하고 있으며, 이러한 규모는 단일 숫자 체계로는 관리가 불가능하다고 지적했다 . 그렇게 많은 개체가 존재하게 되면서 순차적인 APT 번호는 도움이 되기보다 혼란만 가중시켰다.

헌틀리는 TechCrunch와의 인터뷰에서 "업계 내부자들조차 따라잡기 어려운 경우가 많다"고 말했다 . 각 보안 업체는 고유한 분류 체계를 가지고 있다. Microsoft는 날씨 테마(Nobelium, Seashell Blizzard), CrowdStrike는 동물 테마(Cozy Bear, Fancy Bear), Palo Alto Networks는 고유한 시스템(예: Muddled Libra)을 사용한다 . 이러한 분열은 대응 팀이 피해를 통제하는 대신 라벨을 맞추는 데 시간을 낭비하기 때문에 사고 대응 속도를 늦춘다 . 헌틀리는 모든 기업이 하나의 보편적인 체계를 채택하도록 하는 것은 현실적으로 불가능하다고 설명했다. 각 조직마다 가시성, 데이터, 운영 요구 사항이 다르기 때문이다 .

구글의 새 명명 체계: 랜덤 이름 + 국가 단어

GTIG의 새로운 명명 체계는 Mandiant의 유산인 APT 숫자 시퀀스(APT1, APT41 등)를 대체하고, Google 위협분석그룹(TAG)과 Mandiant 내에서 독립적으로 발전해 온 명명 방식을 통합했다 .

새로운 형식은 두 부분으로 구성된다 :

• 첫 번째 단어 — 특정 그룹을 고유하게 식별하는, 기억하기 쉽고 무작위로 선택된 이름. 해당 그룹에 이미 공개 보도에서 잘 알려진 이름(예: Lazarus)이 있다면 GTIG는 그 이름을 유지한다 .
• 두 번째 단어 — 첫 글자가 추정되는 국가 기원 또는 활동 유형을 나타내는 고정된 범주 표시기. 확인된 네 가지 국가 코드는 다음과 같다 :
  • Castle → 중국
  • Ion → 이란
  • Neptune → 북한
  • Relic → 러시아

이 체계는 위 네 가지 범주에 국한되지 않는다. Google은 필요에 따라 추가 범주 단어를 수용할 수 있도록 분류 체계를 구축했다 . 헌틀리는 이번 변경이 "회사 내외부 연구자들이 다양한 위협 그룹을 명확하게 식별"할 수 있게 하고, 방어자들이 공격자의 출처, 동기, 활동 유형을 한눈에 이해할 수 있도록 설계되었다고 말했다 .

더 깊은 과제: 국가 행위자, 범죄자, 용역 해커 그룹의 경계 붕괴

명명 체계 개편은 도움이 되지만, 위협 인텔리전스의 가장 근본적인 어려움, 즉 국가 후원 지능형 지속 위협(APT)과 사이버 범죄 조직, 상업적 해킹 용역 업체를 명확히 분리하는 문제를 해결하지는 못한다 .

실제로 이러한 범주는 상당 부분 중첩된다. 국가와 연계된 그룹은 수익을 창출하거나 기원을 숨기기 위해 범죄적 랜섬웨어 전술을 채택하기도 한다 . 범죄 조직은 정부 지원 행위자에게 접근 권한과 도구를 판매한다. 해킹 용역 업체는 두 세계 모두에서 활동한다. 인력, 도구, 효과는 종종 구별이 불가능하다 .

헐트퀴스트는 Google이 추적하는 5,000개 이상의 클러스터에 국가 행위자, 사이버 범죄자, 용병 스파이웨어 공급업체가 모두 포함되어 있으며 그 경계가 끊임없이 모호해지고 있다고 지적했다 . AI가 생성한 피싱 및 자동화된 정찰 도구는 경계를 더욱 흐리게 만들어, 국가 후원 정보 작전과 금전적 동기의 범죄 조직을 구분하기 어렵게 만든다 .

Google의 새로운 명명 체계는 각 그룹의 라벨에 국가 기원 정보를 직접 포함시킴으로써 도움을 주지만, 근본적인 모호성을 해결할 수는 없다. 한 그룹이 한 캠페인에서는 국가 후원 정찰 부대로 활동하다가 다른 캠페인에서는 프리랜서 랜섬웨어 운영자로 활동할 수 있으며, 그룹은 자주 브랜드를 변경하거나 인프라를 공유한다 .

결론

코드명은 사이버보안 업계 전반에서 적을 추적하는 데 중요한 공유 어휘를 제공한다. 그러나 일관성 없는 업체별 명명 체계는 위험한 혼란을 초래했다. Google의 새로운 두 단어 체계(랜덤 이름 + 국가 표시 단어)는 자사가 추적하는 5,000개 이상의 클러스터에 대해 이러한 분열을 직접 해결하고자 한다. 이번 변경으로 방어자들은 자신이 누구와 싸우고 있는지 더 빨리 이해할 수 있게 되었다. 그러나 국가 행위자와 범죄자, 용병을 분리하는 더 깊은 어려움은 어떤 명명 체계 개혁으로도 완전히 해결할 수 없는 지속적인 운영 과제로 남아 있다.

사이버보안 업체는 왜 해킹 그룹에 코드명을 붙일까

코드명은 법적 신원을 입증하거나 공식적인 법 집행 기관의 귀속(attribution) 결과가 나오기 훨씬 전에, 사이버보안 연구자들이 악성 활동 클러스터를 공유하고 지속적으로 추적할 수 있는 '지속적인 닻(persistent anchor)' 역할을 하기 위해 존재한다 . Google GTIG의 CTO(최고기술책임자) 셰인 헌틀리(Shane Huntley)는 인터뷰에서 코드명이 분석가들로 하여금 조직, 대륙, 산업을 넘어 즉시 동일한 적에 대한 인텔리전스를 공유할 수 있게 해준다고 설명했다 . 적절히 명명된 그룹은 분산된 IP 주소, 악성코드 서명, 관찰된 전술 등을 수년간 연구 가능한 추적 가능한 개체로 전환시킨다 .

해킹 그룹이 영구적인 이름을 받기 전에는 일반적으로 UNC(미분류, Uncategorized) 라벨과 숫자 식별자(예: UNC1878)로 지정되는 임시 추적 클러스터로 시작한다 . 충분한 증거가 축적된 후에야 비로소 명명된 코드명을 부여받는다.

분열의 문제: 동일한 위협에 너무 많은 이름

위협 환경의 성장은 기존 방식을 압도했다. 구글의 수석 분석가 존 헐트퀴스트(John Hultquist)는 회사가 현재 여러 국가에 걸쳐 **5,000개 이상의 '활동 클러스터'**를 추적하고 있으며, 이러한 규모는 단일 숫자 체계로는 관리가 불가능하다고 지적했다 . 그렇게 많은 개체가 존재하게 되면서 순차적인 APT 번호는 도움이 되기보다 혼란만 가중시켰다.

헌틀리는 TechCrunch와의 인터뷰에서 "업계 내부자들조차 따라잡기 어려운 경우가 많다"고 말했다 . 각 보안 업체는 고유한 분류 체계를 가지고 있다. Microsoft는 날씨 테마(Nobelium, Seashell Blizzard), CrowdStrike는 동물 테마(Cozy Bear, Fancy Bear), Palo Alto Networks는 고유한 시스템(예: Muddled Libra)을 사용한다 . 이러한 분열은 대응 팀이 피해를 통제하는 대신 라벨을 맞추는 데 시간을 낭비하기 때문에 사고 대응 속도를 늦춘다 . 헌틀리는 모든 기업이 하나의 보편적인 체계를 채택하도록 하는 것은 현실적으로 불가능하다고 설명했다. 각 조직마다 가시성, 데이터, 운영 요구 사항이 다르기 때문이다 .

구글의 새 명명 체계: 랜덤 이름 + 국가 단어

GTIG의 새로운 명명 체계는 Mandiant의 유산인 APT 숫자 시퀀스(APT1, APT41 등)를 대체하고, Google 위협분석그룹(TAG)과 Mandiant 내에서 독립적으로 발전해 온 명명 방식을 통합했다 .

새로운 형식은 두 부분으로 구성된다 :

• 첫 번째 단어 — 특정 그룹을 고유하게 식별하는, 기억하기 쉽고 무작위로 선택된 이름. 해당 그룹에 이미 공개 보도에서 잘 알려진 이름(예: Lazarus)이 있다면 GTIG는 그 이름을 유지한다 .
• 두 번째 단어 — 첫 글자가 추정되는 국가 기원 또는 활동 유형을 나타내는 고정된 범주 표시기. 확인된 네 가지 국가 코드는 다음과 같다 :
  • Castle → 중국
  • Ion → 이란
  • Neptune → 북한
  • Relic → 러시아

이 체계는 위 네 가지 범주에 국한되지 않는다. Google은 필요에 따라 추가 범주 단어를 수용할 수 있도록 분류 체계를 구축했다 . 헌틀리는 이번 변경이 "회사 내외부 연구자들이 다양한 위협 그룹을 명확하게 식별"할 수 있게 하고, 방어자들이 공격자의 출처, 동기, 활동 유형을 한눈에 이해할 수 있도록 설계되었다고 말했다 .

더 깊은 과제: 국가 행위자, 범죄자, 용역 해커 그룹의 경계 붕괴

명명 체계 개편은 도움이 되지만, 위협 인텔리전스의 가장 근본적인 어려움, 즉 국가 후원 지능형 지속 위협(APT)과 사이버 범죄 조직, 상업적 해킹 용역 업체를 명확히 분리하는 문제를 해결하지는 못한다 .

실제로 이러한 범주는 상당 부분 중첩된다. 국가와 연계된 그룹은 수익을 창출하거나 기원을 숨기기 위해 범죄적 랜섬웨어 전술을 채택하기도 한다 . 범죄 조직은 정부 지원 행위자에게 접근 권한과 도구를 판매한다. 해킹 용역 업체는 두 세계 모두에서 활동한다. 인력, 도구, 효과는 종종 구별이 불가능하다 .

헐트퀴스트는 Google이 추적하는 5,000개 이상의 클러스터에 국가 행위자, 사이버 범죄자, 용병 스파이웨어 공급업체가 모두 포함되어 있으며 그 경계가 끊임없이 모호해지고 있다고 지적했다 . AI가 생성한 피싱 및 자동화된 정찰 도구는 경계를 더욱 흐리게 만들어, 국가 후원 정보 작전과 금전적 동기의 범죄 조직을 구분하기 어렵게 만든다 .

Google의 새로운 명명 체계는 각 그룹의 라벨에 국가 기원 정보를 직접 포함시킴으로써 도움을 주지만, 근본적인 모호성을 해결할 수는 없다. 한 그룹이 한 캠페인에서는 국가 후원 정찰 부대로 활동하다가 다른 캠페인에서는 프리랜서 랜섬웨어 운영자로 활동할 수 있으며, 그룹은 자주 브랜드를 변경하거나 인프라를 공유한다 .

결론

코드명은 사이버보안 업계 전반에서 적을 추적하는 데 중요한 공유 어휘를 제공한다. 그러나 일관성 없는 업체별 명명 체계는 위험한 혼란을 초래했다. Google의 새로운 두 단어 체계(랜덤 이름 + 국가 표시 단어)는 자사가 추적하는 5,000개 이상의 클러스터에 대해 이러한 분열을 직접 해결하고자 한다. 이번 변경으로 방어자들은 자신이 누구와 싸우고 있는지 더 빨리 이해할 수 있게 되었다. 그러나 국가 행위자와 범죄자, 용병을 분리하는 더 깊은 어려움은 어떤 명명 체계 개혁으로도 완전히 해결할 수 없는 지속적인 운영 과제로 남아 있다.