블로그

로그프레소의 활용 방법과 기술에 대한 정보를 제공합니다.

최신 순서 오래된 순서
최신 순서 오래된 순서

2025 북한 연계 APT 공격 분석 회고 (Lazarus · Kimsuky · APT37 · Konni)

로그프레소 보안운영 조직에서 2025년 북한 연계 Kimsuky·APT37·Lazarus·Konni 4개 그룹의 전술을 종합한 결과, 실행 유도 → 다단계 로더 → 주기적 C2 → 정보수집/탈취 → 원격 명령의 패턴이 뚜렷했습니다. 다단계화·지속성 표준화(작업 스케줄러/RunKey·LaunchAgents), 모듈형 탈취, C2 중심의 동적 기능 전개가 핵심이며, 생활 밀착형 미끼와 국내 포털 유사 도메인 활용도 증가했습니다. 이번 회고는 파일·IoC 중심 대응을 넘어 주기 실행·LOLBins·스크립트 체인·크리덴셜 남용을 지표로 한 행위 기반 탐지와 위협 헌팅 표준을 제시했다는 점에서 의미가 있습니다.

2026-01-14

[위협 분석] Shai-Hulud 웜 기반 소프트웨어 공급망 공격 분석

최근 소프트웨어 공급망 공격(Supply Chain Attack)의 위협이 높아지고 있는 가운데, Node.js NPM 생태계를 노린 Shai-Hulud 웜의 대규모 공격이 연이어 발생하고 있습니다. 2025년 9월 16일 처음 발견된 1차 공격은 개발자 시스템에서 API 키, 클라우드 서비스 키, NPM 토큰, GitHub 토큰과 같은 민감 정보를 탈취하고, 이를 활용해 다른 NPM 패키지에 자동으로 악성 코드를 삽입·배포하는 방식으로 이루어졌습니다. 이는 NPM 패키지 침해를 유발한 최초의 공급망 웜형 악성코드로 평가되고 있습니다. 2025년 11월 24일 발생한 2차 공격은 1차 공격과 유사한 방법론을 사용했으나, 그 규모가 훨씬 확대되어 1,000개 이상의 패키지에서 침해가 확인되고 있습니다. Wiz의 분석에 따르면 GitHub에서도 25,000개 이상의 저장소에서 민감 정보가 탈취된 것으로 보고되고 있습니다. 이번 사건은 Shai-Hulud와 같은 웜형 소프트웨어 공급망 공격이 향후에도 반복적으로 발생할 수 있고 고도화 될 수 있음을 보여주고 있습니다. 특히 오픈 소스를 적극 활용하는 기업들은 이러한 공급망 공격 전략을 면밀히 분석하고, 재발 방지를 위한 보안 대응 체계를 강화할 필요가 있습니다.

2025-11-26