그룹
UAT-8302: OneDrive를 C2로 위장한 중국 APT, 남미·동남유럽 정부 침투
Cisco Talos가 공개한 중국 연계 APT UAT-8302는 OneDrive·Dropbox를 C2 채널로 활용해 남미·동남유럽 정부에 장기 잠복 침투했다. NetDraft·CloudSorcerer 도구 분석.
Cisco Talos가 공개한 중국 연계 APT UAT-8302는 OneDrive·Dropbox를 C2 채널로 활용해 남미·동남유럽 정부에 장기 잠복 침투했다. NetDraft·CloudSorcerer 도구 분석.
정정 안내 (2026-09-28) 최초 발행 시 이 글은 UAT-8302의 표적을 남미·동남유럽·러시아 3개 권역으로, 2024년 러시아 CloudSorcerer 공격을 이 그룹의 초기 활동으로 서술했다. Cisco Talos 원문 재확인 결과 러시아는 확인된 표적이 아니고 해당 2024년 캠페인도 UAT-8302로 귀속되지 않아(악성코드 계열만 이전에 공유됐을 뿐) 정정했으며, 잠복 기간 '6개월'과 OneDrive→Dropbox→Yandex 자동 전환 등 원문에 없는 서술도 함께 고쳤다.
2024년 말, 남미 소재 정부 기관의 네트워크에서 비정상 트래픽이 포착됐다. 의심스러운 것은 패킷의 목적지였다. 외부로 나가는 연결이 향한 곳은 합법적인 Microsoft OneDrive 엔드포인트였고, 트래픽 볼륨도 사무용 OneDrive 동기화와 구분이 어려울 만큼 의도적으로 조절돼 있었다. Cisco Talos에 따르면 이 침투는 최소 2024년 말부터 이어진 것으로 확인됐다.
Cisco Talos가 2026년 5월 5일 공개한 보고서에 따르면, 이 침투를 주도한 것은 중국 정부 연계로 고신뢰 평가된 APT 그룹 UAT-8302다. 이 그룹은 남미, 동남유럽에 걸친 정부 기관을 표적으로 삼고, 클라우드 서비스를 C2 채널로 활용해 기존 탐지 체계를 우회한다.
핵심 요약
| 항목 | 내용 |
|---|---|
| 귀속 | 중국 정부 연계 (Cisco Talos 고신뢰) |
| 활동 기간 | 2024년 말 ~ 2026년 5월 (공개 기준) |
| 표적 권역 | 남미·동남유럽 정부 기관 |
| 주력 도구 | NetDraft, CloudSorcerer v3, SNAPPYBEE/DeedRAT |
| 운영 특이점 | OneDrive·Dropbox를 C2 채널로 활용(접속 정보는 GitHub·GameSpot에서 획득) |
UAT-8302는 Cisco Talos가 부여한 미분류 위협 행위자 식별자다. "UAT(Uncategorized Threat Actor)"는 아직 기존 알려진 그룹과 귀속이 확정되지 않은 클러스터를 지칭하는 Talos의 내부 분류 체계다. 공개된 MITRE Groups ID는 현재까지 없으며, 2026년 5월 보고서가 이 그룹의 공식 첫 공개 문서다.
귀속 근거는 다층적이다. 중국 정부 연계는 Cisco Talos 고신뢰 수준으로 평가됐으며, 도구의 코드베이스와 인프라가 이미 알려진 중국 연계 APT 클러스터들과 겹친다. NetDraft 백도어는 Ink Dragon, Earth Alux, Jewelbug, REF7707 등 5개 이상의 위협 클러스터와 동일 코드베이스를 공유한다. REF7707은 LongNosedGoblin, CL-STA-0049로도 불린다. Solar는 NetDraft가 2024년 러시아 IT 조직을 겨냥한 공격에도 쓰였다며 Erudite Mogwai(Space Pirates, Webworm) 와의 연관성을 보고했다.
이 도구 공유 패턴은 우연한 모방이 아니다. 5개 클러스터가 같은 코드베이스를 운용한다는 것은 단일 방어자가 NetDraft 탐지 규칙을 배포해도 공격자 측이 다른 클러스터로 동일 임무를 이어갈 수 있음을 의미한다. Check Point Research가 Ink Dragon 보고서에서 분석한 것처럼, 동일 코드가 복수 그룹에서 운용된다는 것은 중국 국가 수준 APT 생태계 내에서 조율된 자원 배분이 이뤄지고 있음을 보여준다.
선호 타깃: 정부 기관으로 일관된다. 남미, 동남유럽으로 이어지는 지리적 분산은 외교·정보 수집을 목적으로 하는 전략적 선택으로 해석된다. 민간 기업이나 금융권을 대상으로 한 사례는 현재까지 공개 보고에 없다.
운영 시그니처: UAT-8302를 다른 중국 연계 APT와 구별하는 가장 뚜렷한 특징은 클라우드 서비스 C2 활용이다. NetDraft는 Microsoft Graph API를 통해 OneDrive를 C2 채널로 사용하고, CloudSorcerer는 GitHub 저장소나 GameSpot 프로필에서 얻은 정보로 OneDrive·Dropbox 접근 토큰이나 자체 도메인·IP에 접속한다. 방화벽과 DLP 솔루션 대부분이 합법적 클라우드 트래픽을 화이트리스트 처리하는 점을 역이용한 전략이다.
잠복 기간: 남미 캠페인은 Cisco Talos 공개(2026년 5월) 기준 최소 2024년 말부터 이어진 것으로 확인됐다. 이 기간 동안 합법적 클라우드 트래픽 볼륨에 맞춰 통신량을 조절하며 이상 탐지를 회피했다. 즉각적인 데이터 추출보다 장기 접근 유지에 더 높은 우선순위를 두는 운영 방식이다.
초기 접근 벡터: 공개 보고서에서 특정 CVE는 공개되지 않았다. Cisco Talos는 도구를 공유하는 다른 클러스터들의 패턴에 근거해 UAT-8302도 N-day·제로데이 취약점을 악용했을 것으로 평가했다(확인된 사실은 아니다). 피싱 기반 초기 침투는 현재까지 확인된 사례에 없다.
CloudSorcerer의 최초 확인 (2024년, 귀속 별개): Kaspersky Securelist가 2024년 처음 공개한 캠페인에서 러시아 정부 기관이 CloudSorcerer의 공격을 받았다. Cisco Talos는 UAT-8302가 이후 버전(v3)의 CloudSorcerer를 쓴다고 확인했지만, 이 2024년 러시아 캠페인 자체를 UAT-8302의 활동으로 귀속하지는 않았다. 같은 악성코드 계열이 쓰였다는 점만 언급된다. CloudSorcerer는 GitHub 저장소나 GameSpot 프로필에서 얻은 정보로 명령을 수신한다.
남미 정부 침투 (2024년 말~): 복수의 남미 정부 기관이 표적이 됐다. NetDraft가 주력 백도어로 투입됐으며, Cisco Talos 공개(2026년 5월) 기준 최소 2024년 말부터 활동이 이어진 것으로 확인됐다. 합법적 OneDrive 트래픽에 숨어 조직의 방어 체계를 우회했다. 이 캠페인이 Cisco Talos의 UAT-8302 보고서 작성 기반이 된 핵심 사건이다.
동남유럽 정부 기관 (2025): 2025년 들어 동남유럽 정부 기관으로 표적이 확장됐다. Cisco Talos 보고서는 이 지역 캠페인에 구체적으로 어떤 악성코드가 쓰였는지는 밝히지 않았다. SoftEther VPN과 Stowaway 프록시를 통한 지속적 터널 유지는 특정 지역에 한정되지 않고 UAT-8302의 공통 운영 기법으로 소개됐다.
NetDraft (NosyDoor): Cisco Talos가 명명한 .NET 기반 백도어로, FINALDRAFT 및 Squidoor의 변종이다. Microsoft Graph API를 활용해 OneDrive를 C2 채널로 사용하며, 인증 토큰 기반 통신으로 합법적 Microsoft 365 트래픽과 구분이 어렵다. 동일 코드가 Ink Dragon, Earth Alux, Jewelbug, REF7707 등 5개 이상의 중국 연계 클러스터에서 확인되는 공유 무기다.
SNAPPYBEE (DeedRAT): ShadowPad의 후속 모듈형 백도어다. 서명된 합법 실행 파일을 통해 DLL 사이드로딩으로 실행되며, 로더 DLL과 암호화된 페이로드의 이중 구조로 파일 시그니처 기반 탐지를 우회한다. ARC4 암호화에서 페이로드 앞 16바이트를 복호화 키로 사용한다. Darktrace 분석에 따르면, 감염 후 Cobalt Strike와 Demodex 루트킷이 추가로 배포된다.
CloudSorcerer v3: Cisco Talos가 이번 보고서에서 새로 확인한 최신 버전이다. GitHub 저장소나 GameSpot 프로필에서 읽은 정보로 자체 도메인·IP 또는 OneDrive·Dropbox 접근 토큰에 접속해 C2 통신을 수립한다. 클라우드 스토리지를 명령 스테이징 지점으로 활용하는 방식은 기업 환경의 클라우드 화이트리스트 정책을 역이용한다.
보조 도구로는 내부 정찰에 Impacket과 gogo, 프록시 터널링에 Stowaway와 SoftEther VPN이 확인됐다. SNOWLIGHT/SNOWRUST는 VSHELL 스테이저로 추가 페이로드를 전달한다.
남미 정부 기관이 장기간 침투를 탐지하지 못한 핵심 이유는 UAT-8302가 C2 트래픽을 합법적 OneDrive 사용 볼륨과 일치하도록 조절했기 때문이다. 이 운영 방식이 아래 기법 목록 전반을 관통하는 공통 원칙이다.
| 전술 | 기법 | 도구 |
|---|---|---|
| Initial Access | T1190 공개 취약점 악용 | N-day 익스플로잇 |
| Persistence | T1053.005 예약 작업 | NetDraft |
| Defense Evasion | T1036 위장, T1027 난독화 | DLL 사이드로딩, ARC4 |
| Discovery | T1046 네트워크 서비스 스캔 | Impacket, gogo |
| Lateral Movement | T1021 원격 서비스 | Impacket |
| Exfiltration | T1048 대체 프로토콜 유출 | 클라우드 API 스테이징 |
UAT-8302의 클라우드 C2 전략(T1102)은 중국 연계 APT 생태계 전반에서 확산되는 패턴이다. MirrorFace가 일본·유럽 외교 기관 공격에서 클라우드 스토리지를 활용한 것과 Salt Typhoon이 합법 감청 인프라를 역이용한 것처럼, 탐지 회피를 위한 "합법 인프라 무기화"는 중국 국가 APT의 공통 운영 철학으로 굳어지고 있다.
UAT-8302가 차별화되는 지점은 단일 클라우드 서비스에 의존하지 않는 다중 채널 구조다. OneDrive, Dropbox를 순환하는 구조에서 방어자가 특정 서비스를 차단하면 공격자는 다음 채널로 전환할 수 있다. 개별 서비스 IoC를 아무리 쌓아도 C2를 끊을 수 없는 이유가 여기 있다.
이 패턴은 향후 탐지 전략이 단일 서비스 IoC 기반에서 "클라우드 API 비정상 통신 패턴" 감지로 전환돼야 함을 시사한다. 남미 사건은 Talos 공개 시점 기준 최소 2024년 말부터 이어진 뒤에야 드러났다. 이 전환은 사후 분석의 교훈이 아니라 현재 방어 체계의 맹점이다.
관련 글 더 보기
Talos 보고서가 공개한 호스트 기록 가운데 가장 구체적인 것은 예약 작업이다. NetDraft에는 재부팅 뒤에도 살아남는 기능이 없어서, C2가 처음 내리는 명령 가운데 하나가 예약 작업 생성이라고 Talos는 설명한다. 이 작업은 정상 Windows 지도 작업이 모인 Microsoft\Windows\Maps\ 경로 아래 GUID 형태의 이름으로 등록되고, SYSTEM 권한으로 2시간마다 C:\ProgramData\Microsoft\Microsoft\Appunion.exe를 실행한다. 정찰용 whatpc.ps1과 run.bat도 ReconLiteDebug·RunWhatPC라는 1회성 SYSTEM 작업으로 Windows 임시 폴더에서 실행됐다. 고급 감사 정책의 '기타 개체 액세스 이벤트 감사'가 켜진 환경이면 이런 작업 생성은 Windows 보안 로그 이벤트 4698(예약 작업 생성)로 남는다. 이 이벤트에는 작업 XML이 통째로 담긴다. Sysmon 이벤트 ID 1(프로세스 생성)에는 schtasks.exe 명령줄이 그대로 기록된다.
SigmaHQ 공개 룰 「Schtasks Creation Or Modification With SYSTEM Privileges」는 schtasks.exe 명령줄에 /create·/ru와 SYSTEM이 함께 들어간 경우를 잡는다. Talos가 공개한 NetDraft 지속성 명령이 이 조건에 그대로 들어맞는다. 「Suspicious Scheduled Task Creation Involving Temp Folder」 룰은 /create·/sc once·\Temp\ 세 조건이 겹치는 작업 생성을 보며, 정찰 작업 두 건의 명령 형태와 맞는다. MITRE ATT&CK 탐지 전략 DET0441(T1053.005)은 이벤트 4698·4702와 Sysmon 이벤트 1·11·13·14를 데이터 소스로 묶고, SYSTEM 권한 실행과 관례에서 벗어난 작업 이름을 환경별 조정 항목으로 둔다. Talos 보고서에는 ATT&CK 매핑이 없어서, 이 절의 기법 번호는 보고서의 행위 설명에 맞춘 추정이다.
DLL 사이드로딩도 Talos가 파일 이름까지 밝힌 부분이다. CloudSorcerer v3는 Yandex.exe나 VMtools.exe라는 이름의 정상 실행 파일이 같은 폴더의 mspdb60.dll을 불러오게 만든다. 이 DLL이 명령줄로 지정된 .ini 파일을 복호화해 정상 프로세스에 주입한다. VSHELL을 심을 때는 정상 실행 파일이 악성 wininet.dll을 불러와 explorer.exe에 셸코드를 넣었다. 이런 적재는 Sysmon 이벤트 ID 7(이미지 로드)에 적재한 프로세스와 DLL 경로, 서명 상태로 남는다. wininet.dll은 원래 System32에 있는 시스템 라이브러리라서 SigmaHQ 룰 「Potential System DLL Sideloading From Non System Locations」의 감시 목록에 들어 있고, mspdb60.dll은 이 목록에 없다. MITRE 탐지 전략 DET0201(T1574.001)은 비표준 디렉터리에서 일어난 DLL 적재를 Sysmon 이벤트 7·11과 함께 보는 분석을 정리한다.
네트워크 쪽에서 NetDraft의 Graph API 통신을 가려낼 고유 패턴은 보고서에 공개되지 않았다. 공개된 것은 CloudSorcerer v3가 spoolsv.exe 프로세스 안에서 GitHub 저장소나 GameSpot 프로필을 읽어 C2 정보를 얻는다는 점이다. MITRE 탐지 전략 DET0425(T1102)의 Windows 분석 AN1189는 흔치 않은 프로세스가 웹 서비스로 내는 연결을 Sysmon 이벤트 3·22로 본다. 인쇄 스풀러 프로세스가 GitHub로 나가는 연결이 이 조건에 해당한다. 벤더 탐지명으로는 Talos가 공개한 ClamAV 시그니처가 있다. NetDraft는 Win.Malware.Netdraft-10059644-0을 비롯한 4종, SNAPPYBEE는 Win.Malware.Snappybee 계열 6종, CloudSorcerer는 로더 2종과 본체 1종(Win.Malware.CloudSorcerer-10059635-0)으로 잡힌다. Snort 규칙은 SID 66040번부터 66055번까지와 301431번부터 301437번까지가 이 위협용으로 공개됐다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.