2014년 소니 픽처스 해킹 사건으로 전 세계의 주목을 받기 시작한 Lazarus 그룹 은 현재 가장 위험하고 정교한 사이버 범죄 조직 중 하나로 평가받고 있다. 북한 정찰총국의 지원을 받는 것으로 추정되는 이 그룹은 지난 10년간 정치적 목적부터 금전적 이익까지 다양한 동기로 전 세계를 대상으로 사이버 공격을 감행해왔다.
Lazarus 그룹 의 첫 번째 주요 활동은 2009년 DarkSeoul 작전 으로 거슬러 올라갑니다. 이 시기의 공격은 주로 정치적 목적이 강했으며, 한국과 미국의 정부 기관 및 금융 기관을 대상으로 했다. 초기 공격에서는 디스크 와이퍼(Disk Wiper) 악성코드를 사용하여 시스템을 완전히 파괴하는 것이 특징이었다.
2013년에는 한국의 주요 방송사와 은행을 대상으로 한 사이버 테러 를 감행했다. KBS, MBC, YTN 등 방송 3사와 신한은행, 농협, 제주은행의 전산망을 마비시키며 약 32,000대의 컴퓨터를 감염시켰다. (이 공격의 상세 분석: 3.20 사이버테러 전말) 이 공격에서 사용된 악성코드 는 하드디스크의 마스터 부트 레코드(MBR)를 파괴하여 시스템을 완전히 사용 불가능하게 만들었다.
Lazarus 10년 진화
2014년 11월, Lazarus 그룹 은 소니 픽처스 엔터테인먼트 를 해킹하여 전 세계적인 주목을 받았다. 이 공격은 김정은을 암살하는 내용의 영화 '인터뷰'의 개봉을 막기 위한 것으로 분석되었다.
공격자들은 Guardians of Peace(GOP) 라는 이름으로 활동하며 약 100TB에 달하는 내부 데이터를 탈취했다. 여기에는 직원들의 개인정보, 임원진의 이메일, 미공개 영화 등이 포함되었다. 특히 Destover 라는 와이퍼 악성코드를 사용하여 수천 대의 컴퓨터를 파괴했다.
이 사건은 미국 FBI 가 공식적으로 북한의 소행으로 결론지었으며, 사이버 공격이 국제 정치 문제로 확산된 대표적인 사례가 되었다.
2015년부터 Lazarus 그룹 은 정치적 목적에서 금전적 이익 추구로 활동 방향을 전환했다. 이는 북한에 대한 국제 제재가 강화되면서 외화 획득의 필요성이 커진 것과 관련이 있는 것으로 분석된다.
2016년 2월, 가장 대담한 금융 범죄 중 하나인 방글라데시 중앙은행 해킹 사건이 발생했다. 공격자들은 SWIFT 네트워크를 통해 10억 달러를 탈취하려 했으나, 철자 오류와 시간대 차이로 인해 실제로는 8,100만 달러만 성공적으로 빼돌렸다.
이 공격에서는 맞춤형 악성코드 를 사용하여 SWIFT 시스템에 침투했으며, 거래 기록을 삭제하여 흔적을 숨기려 했다. 탈취된 자금은 필리핀의 카지노를 통해 세탁되었다.
2017년 5월, Lazarus 그룹 은 역대 최대 규모의 랜섬웨어 공격인 WannaCry 를 통해 다시 한번 전 세계를 충격에 빠뜨렸다. 이 공격은 150개국 30만 대 이상 의 컴퓨터를 감염시켰으며, 영국 NHS(국민보건서비스), 스페인 통신사 Telefónica, 독일 철도청, FedEx 등 주요 기관과 기업들이 피해를 입었다.
WannaCry는 미국 NSA에서 유출된 EternalBlue 익스플로잇을 활용하여 Windows SMB 취약점을 통해 급속도로 확산되었다. 피해액은 수억에서 수십억 달러로 추정된다.
2017년 12월, 미국 정부는 공식적으로 WannaCry를 북한의 소행으로 발표 했다. 백악관 국토안보보좌관 톰 보서트는 월스트리트저널 기고문에서 "이 주장은 가볍게 하는 것이 아니며, 증거에 기반한다"고 밝혔다.
| 증거 유형 | 내용 |
|---|---|
| 코드 유사성 | Kaspersky, Symantec이 이전 Lazarus 악성코드와 코드 패턴 일치 확인 |
| 언어 분석 | 랜섬웨어 언어 파일 생성 컴퓨터에 한글 폰트 설치 확인 |
| 시간대 설정 | 메타데이터에서 UTC+09:00 (한국 시간대) 확인 |
| 기소 | 2018년 미 법무부, 북한 프로그래머 박진혁 을 WannaCry 개발 혐의로 기소 |
영국 NCSC(국가사이버보안센터)도 "매우 높은 확률로(highly likely)" Lazarus 그룹의 소행이라고 평가했으며, 호주, 캐나다, 뉴질랜드도 이 귀속에 동의했다.
암호화폐의 부상과 함께 Lazarus 그룹 은 새로운 수익원을 발견했다. 2017년부터 전 세계 암호화폐 거래소를 대상으로 한 공격을 본격화했다.
주요 사건들:
이 시기의 공격에서는 스피어 피싱과 공급망 공격 기법이 정교해졌으며, 특히 가짜 암호화폐 거래 애플리케이션 을 통한 공격이 두드러졌다.
COVID-19 팬데믹 은 Lazarus 그룹 에게 새로운 기회를 제공했다. 원격 근무 증가와 디지털 전환 가속화를 악용하여 공격 범위를 확대했다.
2020년에는 의료 기관과 제약회사 를 대상으로 한 공격이 증가했다. 특히 코로나19 백신 개발 정보를 탈취하려는 시도가 포착되었다. AstraZeneca 등 주요 제약회사들이 표적이 되었으며, 가짜 구인 공고를 통한 소셜 엔지니어링 공격이 활용되었다.
2021년에는 DeFi(탈중앙화 금융) 플랫폼 공격으로 활동 영역을 확장했다. Ronin Network 해킹 에서는 6억 1,500만 달러 상당의 암호화폐를 탈취하여 역대 최대 규모의 DeFi 해킹 사건을 일으켰다.
2023년 현재 Lazarus 그룹 은 여전히 활발하게 활동하고 있으며, 그들의 전술, 기법, 절차(TTP) 는 계속 진화하고 있다.
1. 공급망 공격의 정교화
2. AI와 머신러닝 악용
3. 제로데이 취약점 활용
미국 재무부 에 따르면, Lazarus 그룹 은 지난 5년간 약 17억 달러(미국 재무부 추정) 상당의 암호화폐를 탈취한 것으로 추정된다. 이는 북한 GDP의 약 7%에 해당(미국 재무부 추정 기준)하는 규모이다.
Lazarus 그룹의 공격은 대기업이나 정부만의 문제가 아닙니다. 암호화폐를 보유하거나 온라인 금융 서비스를 이용하는 일반인도 표적 이 될 수 있다.
1. 의심스러운 이메일과 메시지 주의하기
2. 암호화폐 자산 보호하기
3. 소프트웨어 최신 상태 유지하기
4. 가짜 앱과 사이트 구별하기
Lazarus 그룹 의 10년 진화사를 살펴보면, 이들이 단순한 사이버 범죄 조직이 아닌 국가 차원의 전략적 자산 임을 알 수 있다. 정치적 목적에서 시작하여 경제적 이익 추구로 전환한 그들의 변화는 북한의 국제적 고립과 경제 제재 상황을 반영한다.
더욱 우려되는 점은 그들의 기술적 역량이 지속적으로 향상되고 있다는 것이다. AI, 블록체인, IoT 등 새로운 기술이 등장할 때마다 이를 악용할 새로운 방법을 찾아내고 있다.
일반인에게 중요한 것은 기본적인 보안 습관 이다. 의심스러운 링크를 클릭하지 않고, 소프트웨어를 최신 상태로 유지하며, 암호화폐 자산을 안전하게 관리하는 것만으로도 대부분의 공격을 예방할 수 있다. Lazarus 그룹은 계속 진화하겠지만, 우리의 보안 의식도 함께 진화해야 한다.
Lazarus의 전략적 전환은 주목할 만하다. 초기의 파괴적 공격(Sony, 한국 금융기관)에서 금전적 이득을 위한 공격(Bangladesh Bank, 암호화폐)으로 방향이 바뀌었다. UN 안보리 보고서에 따르면 2022년까지 Lazarus가 탈취한 암호화폐는 약 17억 달러로, 이는 북한 GDP의 상당 부분에 해당한다.
📌 이 글은 AI(Claude) 를 활용하여 작성되었습니다. 본 콘텐츠는 보안 교육 및 방어 목적으로만 제공되며, 이를 악용한 불법 행위에 대한 책임은 전적으로 행위자 본인에게 있습니다.
Lazarus가 사용한 MITRE ATT&CK 기법
관련 사이버보안 사건
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.