2026년 9월 APT 그룹 동향 보고서
목적 및 범위
2026년 9월 공개된 APT 사례는 개발자 생태계, 클라우드 서비스, 네트워크 관리 인프라를 신뢰 계층으로 악용하는 방향으로 진화한 점을 보여준다. 정상 소프트웨어 설치 파일, GitHub 저장소, Microsoft 365, OneDrive, Telegram, Nostr, 라우터와 인증 서버가 공격 체인에 포함되었다.
주요 동향
- 공급망 공격이 확대되었다. GitHub 계정 탈취, 저장소 변조, VS Code 프로젝트 악용, Terraform 구성 파일 위장, 악성 macOS 설치 프로그램 배포가 관찰되었다.
- 정상 서비스 기반 C2(명령제어)가 증가했다. Microsoft 365, Outlook, OneDrive, Telegram, GitHub API, WebSocket, Nostr Relay, Microsoft Graph API가 은닉형 통신 채널로 사용되었다.
- 신뢰 인프라 침해가 늘었다. 라우터, TACACS 인증 서버, Linux 관리 호스트, Microsoft Exchange 서버를 직접 노리는 사례가 확인되었다.
- Chrome 및 Windows 제로데이와 다단계 감염 체인이 활용되었다. VHDX, LNK, PDF, HTA, WSF, MSI, Control Panel applet이 결합되었다.
지역별 주요 APT 그룹 현황
북한
Famous Chollima, Kimsuky, Konni가 개발자와 IT 종사자를 주로 노렸다. 가짜 채용, 기술 면접, 코딩 과제, 악성 LNK, GitHub PAT 기반 전달, PowerShell 후속 페이로드가 반복되었다. Famous Chollima의 Contagious Interview는 OtterCookie(정보 탈취와 원격 접근 기능이 있는 악성코드), PolinRider는 탈취한 GitHub 계정과 저장소를 이용한 확산이 핵심이었다. Kimsuky는 GitHub, WordPress, Dropbox, Pinggy를 기능별로 분리해 사용했고, Konni는 VelvetCake(다운로더)로 정보 수집과 화면 캡처를 수행했다.
중국
FamousSparrow, Fire Ant, Storm-3069, UAT-11587, UTA0565가 신뢰 인프라와 정상 서비스를 적극 활용했다. SparroWocky, BridgeAgent, NeedyMantis, Antino, CLEANGULP가 등장했으며, Microsoft 365, Outlook, OneDrive, Cloudflare Pages, Cloudflare R2, Amazon CloudFront, GitHub가 C2와 스테이징에 사용되었다. Fire Ant는 Cisco IOS XR 라우터와 TACACS 서버를 침해했고, UAT-11587의 Antino는 Outlook과 OneDrive를 dead-drop C2로 사용했다.
러시아
Callisto (Star Blizzard), UAC-0099, NightEagle가 활동을 고도화했다. Callisto는 RedFlick(예약 작업 기반 전달 기법)으로 CosmicPulse를 배포했고, UAC-0099는 GuardBreaker(LLM 기반 분석 방해 기법)로 AI 분석을 교란하려 했다. NightEagle은 GhostContainer(Exchange 백도어)와 Microsoft dev tunnels, rdp2tcp, Impacket, BlueKeep을 결합해 러시아 기업 환경에 침투했다.
이란 및 파키스탄
Mirage Kitten은 NodeRabbit, PollCat을 사용해 항공, 항공우주, 핀테크 분야의 개발자 워크스테이션을 노렸다. Transparent Tribe와 APT36은 LNK, ISO, ZIP, BAT, PowerShell, GitHub 기반 C2를 활용해 정부, 국방, 외교 조직을 공격했다. APT36은 RUSTYSHADE, RUSTYMOVE, PSNATCH, BASHNATCH로 GitHub private repository와 이동식 저장매체를 악용했다.
결론
이번 달 APT 활동은 사용자 단말 감염보다 개발자 계정, 클라우드 자격증명, 공급망, 네트워크 신뢰 인프라 장악으로 무게중심이 이동했음을 보여준다. 기존 보안 통제만으로는 정상 서비스에 섞인 C2, 개발 워크플로우 악용, 신뢰 인프라 침해를 탐지하기 어렵다. 따라서 개발자 환경, 클라우드 행위 기반 탐지, 네트워크 관리 인프라 모니터링, 계정 보호가 우선 대응 영역으로 제시된다.
