Lazarus 그룹의 분화: 단일 APT에서 다중 하위 그룹 체계로의 전환

"Lazarus Hackers Group" no longer refer to a single APT group but a collection of many sub-groups

"Lazarus Hackers Group" no longer refer to a single APT group but a collection of many sub-groups

 

• Lazarus 그룹 개요의 변화
  • Lazarus는 더 이상 단일 APT 그룹이 아닌 다수의 하위 그룹으로 구성된 네트워크로 분류됨
  • 공통된 목표 및 전술을 공유하나, 세부 전술 및 표적은 하위 그룹별로 상이함
  • 분석가들은 Lazarus라는 명칭이 더 이상 단일 실체를 지칭하지 않고 전략적 틀임을 강조
• 하위 그룹 구조 및 복잡성
  • 대표적인 하위 그룹에는 APT38, Bluenoroff, Andariel 등이 있으며 전술(TTPs)에서 중복성 존재
  • Citrine Sleet, Moonstone Sleet 등의 그룹은 SNS를 통한 악성 패키지 유포 등 유사한 공격 벡터 사용
  • 다양한 보안 벤더가 동일 그룹을 다르게 명명하면서 분류체계가 복잡해짐
    • 캠페인명: Operation Dreamjob, AppleJeus, Contagious Interview
    • 그룹명: TEMP.Hermit, Sapphire Sleet, TA444, Silent Chollima 등
  • 일부 명칭은 특정 공격 캠페인에서 시작해 하위 그룹 전체를 지칭하는 경우로 확장됨
• 태스크포스 성격의 그룹 등장
  • Bureau325와 같이 기존 그룹 구조에 포함되지 않으나 Lazarus와 유사한 TTP를 사용하는 유닛 등장
  • 이는 하위 그룹 간 협업 또는 임무 기반 분화 가능성을 시사
• 하위 그룹 식별의 중요성
  • 정밀 경고 발령: 그룹별 표적 산업군 및 공격 목적(예: 암호화폐 탈취, 랜섬웨어 배포 등)에 따라 차별화된 경보 가능
  • 대응 전략 최적화: 그룹별 기술 및 전술 분석을 통한 맞춤형 방어 체계 수립
  • 전략적 대응 메시지: 세분화된 분석 및 추적 능력을 통한 억제 효과 유도
• 결론
  • Lazarus 그룹의 분화는 APT 진화의 전형으로, 사이버위협 대응 프레임워크의 동적 조정이 요구됨
  • 보안 커뮤니티는 하위 그룹 단위의 식별 및 추적 체계를 고도화해야 함
  • 장기적 위협 완화 및 전략적 방어를 위해 세분화된 인텔리전스 활용이 필수적임