TESTMARKER123
2026년 5월, 우크라이나의 한 시스템 관리자가 구직 사이트에 이력서를 올렸다. 몇 주 뒤 "Atlas Business Group"이라는 회사의 채용 담당자가 연락해 왔고, 텔레그램 대화와 줌(Zoom) 화상 면접까지 거친 끝에 "기술 테스트"라며 VPN 프로그램 설치를 요청받았다. 그가 설치한 건 평범한 VPN이 아니었다.
이 캠페인의 배후로 지목된 건 러시아 군 정보기관 총정찰국(GRU)과 연계된 해킹조직 Sandworm이다. MITRE ATT&CK에는 APT44, Seashell Blizzard 등의 별칭으로 등록돼 있으며(Group ID G0034), 2015년 우크라이나 전력망을 마비시킨 공격과 2017년 전 세계에 피해를 입힌 NotPetya로 잘 알려진 그룹이다. 우크라이나 침해사고대응팀(CERT-UA)은 이번 캠페인을 하위 추적번호 UAC-0145로 분류했다.
표적은 무작위 사용자가 아니라 시스템 관리자와 IT 전문가다. 네트워크 접근권을 이미 쥐고 있는 사람을 골라 감염시키면, 공격자는 별도의 초기 침투 단계 없이 곧바로 내부망 발판을 얻는다. CERT-UA는 정확한 최종 목적은 공개하지 않았지만, 우크라이나 IT 인프라에 대한 장기 잠복형 접근권 확보로 추정된다.
공격자는 구직 사이트에 올라온 이력서를 살펴 시스템 관리자·IT 전문가를 골라낸 뒤, 실존하지 않는 회사 "Atlas Business Group"의 채용 담당자로 접근했다. 구직 사이트 채팅으로 시작된 대화는 곧 텔레그램으로 옮겨갔고, 기본적인 영어 스크리닝을 거쳐 실제 사람이 진행하는 줌 화상 면접까지 이어졌다. 이 단계까지는 일반적인 채용 과정과 구별하기 어렵다.
문제는 "기술 테스트"였다. 공격자는 후보자에게 VPN 프로그램 설치를 요구했는데, 이것이 "SopraVPN"이라는 이름의 변조된 WireGuard 클라이언트였다. 실제 IT 기업 Sopra Steria를 사칭한 웹사이트와 SourceForge를 통해 배포됐으며, 정상 WireGuard 소스 코드를 기반으로 만들어져 겉보기엔 진짜 VPN처럼 작동한다.
기술적으로 흥미로운 지점은 은닉 방식이다. 공격자는 WireGuard 설정 파일 처리 로직에 "SymmetricKey"라는 표준에 없는 옵션을 추가했다. 여기에 Base64로 인코딩된 값을 넣으면, PrivateKey에서 뽑아낸 32바이트 키로 AES-256-GCM 복호화가 이뤄지고, 그 결과로 나온 PowerShell 코드가 WireGuard 자체의 정상 기능인 "PostUp"(연결 후 명령 실행) 훅을 통해 그대로 실행된다. 악성코드 본체를 숨긴 게 아니라, VPN 설정값 자체를 무기화한 셈이다. 이후 Windows에서는 예약 작업을 새로 등록해 지속성을 확보하고 추가 페이로드를 내려받으며, Linux에서는 curl로 공격자 인프라에서 실행 파일을 받아온다.
CERT-UA는 정확한 감염 규모와 공격의 최종 목적은 공개하지 않았다. 다만 최소 2026년 5월부터 8월 공식 발표 시점까지 3개월 넘게 캠페인이 이어졌고, Sopra Steria의 불가리아 지사 주소와 유사한 이메일을 사용한 사례가 실제로 관측됐다고 밝혔다. 정상 오픈소스 프로젝트를 변조해 신뢰할 만한 도구처럼 위장했다는 점에서, 서명이나 평판만으로는 걸러내기 어려운 유형의 공급망 위협이다.
WireGuard 설정 파일에 "SymmetricKey"처럼 공식 문서에 없는 필드가 들어 있다면 그 자체가 이상 신호다. Windows 환경에서는 PowerShell 실행 뒤 곧바로 새로운 예약 작업이 등록되는 흐름(스케줄 작업 생성 이벤트)이 포착되는데, 이는 Sandworm이 우크라이나·폴란드 전력망 공격에서도 반복해서 쓴 지속성 패턴과 같은 선상에 있다. VPN 클라이언트 프로세스가 자식 프로세스로 powershell.exe나 curl을 실행하는 프로세스 트리 역시 정상적인 VPN 동작으로는 설명되지 않는다.
공식 매핑은 아니다. CERT-UA·언론 보도 모두 개별 기법 번호를 명시하지 않았으며, 아래는 서술된 행위를 근거로 유형상 흔히 관찰되는 패턴을 정리한 것이다.
| 기법 ID | 기법명 | 관련성 |
|---|---|---|
| T1585.001 | Establish Accounts: Social Media | 가짜 채용담당자·가짜 회사 페르소나 구축 |
| T1204.002 | User Execution: Malicious File | 피해자가 직접 SopraVPN을 설치하도록 유도 |
| T1053.005 | Scheduled Task | Windows 지속성 확보 (기존 Sandworm 전력망 공격과 동일 패턴) |
| T1140 | Deobfuscate/Decode Files or Information | 설정 파일 속 AES 암호화 명령 복호화 |
이 공격이 위험한 이유는 기술이 아니라 공정 자체를 겨냥했다는 데 있다. 정상 오픈소스 코드를 변조하고, 실제 회사를 사칭하고, 사람이 직접 화상 면접까지 진행한다. 코드 서명이나 평판 기반 필터링만으로는 걸러지지 않는 이유다.
이런 "가짜 채용" 수법 자체는 사실 새롭지 않다. 북한과 연계된 라자루스(Lazarus) 그룹이 npm·PyPI 패키지로 전 세계 개발자를 노려온 "Contagious Interview" 캠페인과 뼈대가 같다. 배후 조직도, 배포 방식도 다르지만 "채용 과정을 가장해 신뢰를 쌓은 뒤 실행 파일을 심는다"는 핵심 전술은 동일하다. 한국 개발자·IT 담당자도 이미 유사 유형의 표적이 되어온 만큼, 화상 면접 중 "기술 테스트"를 명목으로 낯선 프로그램 설치를 요구받으면 배포 경로가 검증된 공식 채널인지부터 의심해볼 필요가 있다.
관련 글: Sandworm은 이번이 처음 등장하는 그룹이 아니다. DynoWiper: Sandworm이 32,000대 PC로 폴란드 전력망을 공격한 방법에서는 이 그룹의 ICS 파괴 공격을, Windows 예약 작업: Sandworm이 전력망 공격에 사용한 지속성 기법에서는 이번 캠페인에도 등장한 것과 같은 지속성 기법을 다뤘다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.