구글, 서방 외교관과 언론인을 노리는 러시아 콜드 리버의 로스트키즈 멀웨어 경고

러시아 사이버 그룹 콜드 리버, 서방 인사들을 노리는 새로운 멀웨어 배포

구글은 러시아 연방보안국(FSB)과 연계된 해킹 그룹 콜드 리버와 관련된 새로운 변종 멀웨어인 '로스트키즈(LOSTKEYS)'를 발견했습니다.

이 멀웨어는 민감한 인물과 조직을 표적으로 삼아 파일과 시스템 데이터를 훔치는 이 그룹의 사이버 스파이 활동이 크게 확대되었음을 나타냅니다.

로스트키란 무엇이며 어떻게 작동하나요?

LOSTKEYS는 시스템에 은밀하게 침투하여 문서, 스프레드시트, 로그인 자격 증명과 같은 특정 파일을 추출하도록 설계되었습니다.

이 멀웨어의 기능은 중요한 시스템 정보를 수집하는 데까지 확장되며, 이 정보는 콜드 리버의 운영자에게 다시 전송됩니다.

구글의 웨슬리 쉴즈에 따르면, 로스트키즈는 해킹 그룹의 "툴셋의 새로운 발전"으로 스파이 활동 툴킷을 확장할 수 있게 해준다고 합니다.

이 멀웨어는 매우 정밀하게 작동하여 지정된 디렉터리에 저장된 특정 파일을 표적으로 삼으면서도 탐지되지 않습니다.

콜드 리버는 은밀한 접근 방식을 통해 표적에게 알리지 않고 중요한 정보를 수집할 수 있어 사이버 작전에서 매우 효과적인 도구로 활용되고 있습니다.

콜드 리버의 오랜 유명 사이버 공격 역사

이전에 다양한 가명으로 활동한 것으로 확인된 Cold River는 서구의 유명 개인과 기관을 겨냥한 사이버 공격의 오랜 역사를 가지고 있습니다.

이 그룹은 주로 러시아의 지정학적 이익을 증진하기 위한 정보 수집에 주력하고 있습니다.

최근 몇 달 동안 콜드 리버는 2025년 1월부터 4월까지 전현직 서방 정부 고문과 군인, 언론인, 국제 싱크탱크 회원을 표적으로 삼았습니다.

특히 우크라이나 분쟁과 관련이 있는 개인들도 그룹의 레이더망에 포착되었습니다.

이러한 지속적인 공격은 콜드 리버의 전략적 목표인 정보 수집에 부합합니다.

콜드 리버가 기만적인 전술로 피해자를 노리는 방법

로스트키 배포는 가짜 캡차 페이지로 시작됩니다.

이 페이지는 사용자를 속여 악성 명령을 실행하도록 유도하여 멀웨어가 작동하도록 설정합니다.

사용자가 이 코드와 상호 작용하면 악성 PowerShell 코드가 클립보드에 복사된 다음, Windows '실행' 대화 상자를 통해 실행되도록 속입니다.

명령이 실행되면 멀웨어가 대상 디바이스에 다운로드 및 설치를 시작하고, 디바이스의 합법성을 확인하기 위한 확인 프로세스를 시작합니다.

일단 설치되면 LOSTKEYS는 백그라운드에서 조용히 실행되어 사용자에게 알리지 않고 민감한 파일, 로그인 정보 및 시스템 데이터를 추출합니다.

이 고급 타겟팅 시스템은 멀웨어가 가치가 높은 표적에만 배포되도록 하여 각 공격의 효과를 극대화합니다.

콜드 리버의 과거 작전: 핵 연구소부터 이메일 유출까지

콜드 리버는 이전에도 대담하고 과감한 운영으로 주목을 받은 바 있습니다.

2022년 중반, 이 그룹은 미국의 핵 연구 시설 3곳에 사이버 공격을 감행한 혐의로 기소되었습니다.

같은 해 말에는 전 영국 정보국장 리처드 디어러브 경의 개인 이메일 유출 사건과 브렉시트 찬성 활동과 관련된 여러 개인이 연루된 사건에 연루되기도 했습니다.

이러한 작전은 민감한 지정학적 문제에 대한 정보를 수집하여 러시아의 이익을 증진하기 위한 광범위한 노력의 일환이었습니다.

로스트키즈 멀웨어를 사용하는 등 콜드 리버의 사이버 역량이 지속적으로 진화하면서 국가가 후원하는 해킹 작전의 정교함이 문제가 되고 있습니다.

사이버 보안 전문가, 증가하는 위협에 대한 경고

로스트키즈의 등장으로 사이버 보안 전문가들은 콜드 리버와 같은 국가가 후원하는 해킹 그룹의 위협이 커지고 있다는 경각심을 불러일으켰습니다.

이러한 그룹이 전술을 정교화함에 따라 민감한 분야의 조직과 개인, 특히 정치 및 군사 활동에 관여하는 조직은 기밀 정보 탈취를 노리는 공격에 점점 더 취약해지고 있습니다.

Google의 위협 인텔리전스 그룹은 이러한 정교한 사이버 위협으로 인한 위험을 완화하기 위해 대상 조직에 정기적인 시스템 업데이트와 강화된 모니터링 프로토콜을 포함한 강력한 보안 조치를 채택할 것을 촉구했습니다.