북한 연계 해커들, 한국 표적 다단계 공격에 GitHub를 C2로 활용

핵심 요약

북한 연계 위협 행위자들이 한국 내 조직을 표적으로 난독화된 Windows 바로가기(LNK) 파일을 이용한 다단계 공격을 수행하며, GitHub를 명령 및 제어(C2) 인프라로 활용하고 있습니다. 공격자들은 Initial Access(TA0001) 단계에서 LNK 파일을 통해 미끼 PDF를 드롭하고, 이후 GitHub를 C2 채널로 사용하여 악성코드를 제어하는 Multi-Stage Channels(T1104) 전술을 사용합니다. 이는 Code Repositories(T1213.003)를 악용하여 보안 솔루션의 탐지를 우회하려는 시도로 분석됩니다. IT 감사인은 개발 및 운영 환경에서 GitHub와 같은 코드 저장소의 보안 통제 현황을 점검하고, 비정상적인 네트워크 트래픽 및 파일 실행 패턴에 대한 탐지 및 대응 체계를 강화해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치엔드포인트 보안 솔루션(EDR/백신)의 LNK 파일 실행 및 스크립트 기반 공격 탐지 기능을 강화하고, 최신 위협 인텔리전스를 반영하여 정책을 지속적으로 업데이트할 것을 권고함.
• ✔기술적 조치네트워크 트래픽 모니터링 시스템(NDR/IPS) 및 방화벽 정책을 고도화하여 GitHub와 같은 외부 코드 저장소를 통한 비정상적인 C2 통신 패턴을 탐지하고 차단할 수 있도록 설정할 것을 권고함.
• ✔기술적 조치개발 및 운영 환경에서 사용되는 코드 저장소(GitHub 등)에 대한 접근 제어를 강화하고, 비정상적인 API 호출 또는 리포지토리 접근 시도를 탐지할 수 있는 모니터링 체계를 구축할 것을 권고함.
• ✔관리적 조치북한 연계 해커의 공격 동향 및 수법(GitHub C2 활용 등)에 대한 최신 위협 인텔리전스를 정기적으로 수집 및 분석하고, 이를 기반으로 보안 정책 및 방어 전략을 업데이트할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 LNK 파일, 미끼 PDF 등 사회공학적 공격 기법에 대한 보안 인식 교육을 정기적으로 실시하고, 의심스러운 파일이나 링크를 열람하지 않도록 경각심을 고취할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문