APT29와 같은 활동의 여러 표지: '동일'이 아니라 '겹침'으로 보는 이유

APT29는 IRON RITUAL, IRON HEMLOCK, NobleBaron, Dark Halo, NOBELIUM, UNC2452, YTTRIUM, The Dukes, Cozy Bear, CozyDuke, SolarStorm, Blue Kitsune, UNC3524, Midnight Blizzard 등 여러 이름으로 불립니다. MITRE ATT&CK은 이 이름들을 하나의 그룹인 Group G0016으로 묶어 발표하고 있습니다. 다만 이 글의 근거 자료는 APT29와 Midnight Blizzard 등 일부 표지가 서로 다른 텔레메트리와 클러스터링 기준으로 형성되어 경계에서 완전히 일치하지 않을 수 있음을 직접 다루고 있을 뿐, 전체 별칭 목록이 모두 같은 방식으로 생성되었음을 밝히지 않습니다. 이 글은 APT29 사례를 중심으로, 출처별 기준의 차이에 따른 표지 간 겹침의 의미를 정리합니다.

별칭이 가리키는 대상: 침입 집합과 활동 그룹

APT29라는 이름이 실제로 명명하는 대상은 침입 집합(intrusion set), 혹은 활동 그룹(activity group)입니다. 이는 반복적으로 관측되는 활동 클러스터에 해당합니다. 즉, 별칭은 행위자의 정체 자체라기보다, 특정한 활동 집합을 가리키는 표지입니다.

출처별 텔레메트리와 클러스터링 기준이 만든 겹침

서로 다른 출처가 같은 활동을 추적하더라도, 사용하는 텔레메트리와 클러스터링 기준이 다르면 표지의 경계가 완전히 일치하지 않습니다. 어떤 출처의 APT29와 다른 출처의 Midnight Blizzard는 서로 다른 텔레메트리와 클러스터링 기준을 기반으로 만들어졌습니다. 이 두 표지는 대부분 같은 활동을 기술하지만, 경계 부분에서는 완전히 일치하지 않습니다. 어떤 출처는 특정 자팀을 하나의 클러스터에 포함시키지만, 다른 출처는 그 자팀을 별도로 추적하기도 합니다.

이때 "APT29 (aka Midnight Blizzard, aka UNC2452)"와 같은 표기는 "이 표지들이 상당 부분 겹친다"는 의미를 담고 있습니다. 별칭 표지는 경계에서 완전히 일치하지 않을 수 있으므로, 이를 동일어로 취급하는 것은 표지의 경계를 무시하는 것입니다.

경계를 무시한 통합이 초래할 수 있는 귀속 오류

경계 조건이 명확하지 않으면, 표지가 가리키는 활동 클러스터의 범위를 확대하거나 축소해 해석하는 위험이 있습니다. 표지의 의미를 어떻게 받아들여야 하는지 판단하기 어렵기 때문입니다.

귀속 전 점검: 경계 조건을 확인한 후 재귀속하기

한 표지 아래에 귀속된 주장을 경계 조건을 확인한 뒤에야 다른 표지로 재귀속할 수 있습니다. 경계 조건을 확인하지 않은 채 다른 표지로 재귀속하면, 사실과 다른 귀속이 만들어질 수 있습니다. 예를 들어, 어떤 출처에서 Midnight Blizzard로 확인된 활동을 가져와, 경계 조건을 확인하지 않은 채 APT29라는 이름으로 재귀속한 후 사실처럼 제시하는 경우가 이에 해당합니다. 다시 말해, 별칭 표지가 동치 관계가 아니라는 점을 감안할 때, 표지의 경계를 무시하고 이름을 바꾸어 사용하는 것은 귀속 오류로 이어질 수 있습니다.

근거가 다루지 않는 범위

이 글의 근거 자료에서는 Diamond Model이 별칭 프로파일링에 어떻게 적용되어야 하는지, 표지 간 관계를 표현하기 위해 어떤 필드를 채워야 하는지에 대한 세부 지침을 확인하지 못했습니다. 별칭 간 겹침의 정도를 정량적으로 판단하는 기준에 대한 근거 역시 부족합니다.

이 글의 근거는 APT29 사례에 집중되어 있어, 다른 행위자나 조직으로 일반화하기에는 제한이 있습니다. MITRE 그룹 페이지에 나열된 각 이름이 MITRE 내부 기준으로 생성된 것인지, 외부 출처에서 가져온 것인지에 대한 구분 정보도 없습니다. 프로파일의 시점별 변경 이력을 관리하는 관행에 대한 근거도 확인되지 않았습니다.

참고자료

• APT29 - Group G0016 (MITRE ATT&CK)
• The Same Adversary Has Nine Names (venomtechofficial, Medium)

함께 읽으면 좋은 글

• LSASS 자격증명 덤프링(T1003.001) 탐지: Sysmon 이벤트 저장 위치·UTC 타임스탬프와 구성 검토
• CVE-2026-78155 대응 가이드: StackGres 테넌트 권한 상승과 Operator 격리 점검
• 주간 보안 동향 요약: 실제 악용 취약점과 신뢰 경계 재점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.