OctLurk·SilkLurk 침해사고 분석: 중앙아시아 공공기관 표적 공격의 탐지·대응 점검표

사건 요약

Kaspersky가 공개한 분석과 이를 인용한 보도에 따르면, 중국어 사용 공격자로 추정되는 미식별 위협 행위자가 2025년 1월 이후 중앙아시아의 정부·공공기관을 중심으로 침해 활동을 벌인 정황이 확인됐다. 보고된 대상에는 아프가니스탄, 키르기스스탄, 타지키스탄, 우즈베키스탄, 카자흐스탄과 시리아의 정부 조직이 포함되며, 외교 부처·법집행기관·교육기관·연구·물류 등도 표적 범주로 언급됐다.

캠페인에는 OctLurk와 SilkLurk라는 신규 백도어(backdoor), 그리고 네트워크 트래픽 중계를 위한 LurkProxy가 사용됐다. 두 백도어는 추가 플러그인을 메모리에 적재하는 구조를 갖고 있어 명령 실행, 파일 조작, 네트워크 정찰, 자격 증명 탈취 같은 후속 행위를 확장할 수 있다. 공격자의 정확한 신원이나 최초 침투 경로는 공개 분석만으로 확정되지 않았다.

사건 개요

공개 분석은 이 활동을 알려진 특정 공격 그룹에 귀속하지 않았다. 다만 공격 인프라 일부가 과거 SilentRaid(MystRodX, TrustFall)로도 알려진 C++ 기반 임플란트 관련 활동과 겹친다고 설명했다. 이는 여러 운영체제 대상 캠페인이 인프라를 공유했을 가능성을 시사하지만, 같은 운영자가 같은 시점에 수행했다는 증거는 아니다.

OctLurk는 로더(loader)를 통해 메모리에 주입된 뒤 시스템 정보를 수집하고, 하드코딩된 C2(command-and-control) 서버와 스트림 소켓으로 통신하는 것으로 보고됐다. SilkLurk는 DLL을 이용한 사이드로딩(DLL side-loading) 체인으로 실행된 뒤 구성값에 지정된 C2 서버에 접속한다. 두 계열 모두 디스크에 남기는 흔적을 최소화하고, 시스템별 값을 이용해 페이로드 위치와 내용을 해독하는 방식이 분석·자동 탐지를 어렵게 만든다.

공격 방식 및 피해

OctLurk는 서버에서 받은 플러그인을 프로세스 메모리에 직접 적재할 수 있다. 공개된 기능에는 명령 셸(command shell) 실행, 파일 시스템 작업, 클립보드 수집·변경, 화면 캡처, 마우스 동작, 네트워크 스캔, 키로깅, 브라우저 비밀번호·이메일 수집이 포함된다. 이 기능은 단일 파일형 악성코드보다 공격자가 침해 후 목적에 맞게 기능을 바꿀 수 있게 한다.

공격 흐름에서 관찰된 LurkProxy는 SOCKS5 또는 투명 프록시 중 한 모드로 동작하며, 감염 호스트를 경유해 트래픽을 중계할 수 있다. OctLurk 실행 전에는 dns.ssentialserv[.]xyz 연결성을 확인하고 배치 스크립트로 LurkProxy를 시작한 흔적이 보고됐으며, LurkProxy의 C2로 154.196.162[.]76이 언급됐다. OctLurk의 시스템 정보 전송 C2로는 dns.multitoconference[.]com이 공개됐다. 이 값은 보고 시점의 관찰 지표이므로 차단 전에는 자체 DNS·프록시·EDR 로그에서 재확인하고, 단순 도메인 일치만으로 침해를 단정해서는 안 된다.

SilkLurk와 연결된 사후 침해 활동에는 cmd.exe에서 PowerShell을 실행해 관리자 자격 증명으로 네트워크 공유에 접속하고, 기밀 문서를 탐색·스테이징한 뒤 WinRAR 또는 7-Zip으로 압축하는 행위가 포함됐다. 별도의 DLL 사이드로딩 체인을 통해 PlugX를 투하한 사례도 보고됐다. 따라서 영향은 초기 감염 호스트에 그치지 않고, 공유 자원 접근 권한과 관리 자격 증명 노출 여부에 따라 문서 유출과 내부 이동으로 확장될 수 있다.

영향 범위

우선 점검 대상은 중앙아시아 지역의 정부기관과 공공 부문이지만, 공공기관을 대상으로 하는 유사한 표적형 침해를 방어해야 하는 모든 조직이 참고할 수 있다. 특히 외교·법집행·도시 기반시설·교육·연구 조직처럼 민감 문서와 다수의 공유 자원을 운용하는 환경은 문서 수집 및 압축 행위의 영향이 크다.

SOC는 메모리 중심 실행 때문에 파일 해시만으로 탐지 범위를 한정하면 안 된다. 정상 서명 DLL의 비정상 로딩, 예상하지 못한 부모-자식 프로세스 관계, cmd.exe→PowerShell 실행, 서비스 계정의 공유 폴더 대량 열람, 아카이버 실행 직후 외부 통신을 함께 분석해야 한다. 공개 IoC는 시간이 지나면 바뀌거나 공격자가 재사용·폐기할 수 있으므로 행위 기반 탐지와 병행해야 한다.

교훈 및 대응

1. 공개 IoC를 DNS, 프록시, 방화벽, EDR의 과거 로그에 우선 대조한다. 일치가 있으면 해당 엔드포인트의 프로세스 트리, 메모리 흔적, 계정 로그인, 공유 폴더 접근 기록을 같은 시간대에 묶어 조사한다.
2. 의심 호스트는 네트워크에서 격리하되, 휘발성 증거가 사라지지 않도록 격리 전후의 메모리·실행 프로세스·연결 정보를 침해대응 절차에 따라 보존한다. 단일 IoC 일치만으로 삭제를 먼저 수행하면 인메모리 플러그인과 인프라 연결 단서를 잃을 수 있다.
3. DLL 사이드로딩 탐지를 강화한다. 허용된 설치 경로 밖의 DLL 로드, 서명된 실행 파일이 같은 디렉터리의 낯선 DLL을 불러오는 행위, 신뢰된 바이너리에서 시작된 비정상 네트워크 연결을 상관 분석한다.
4. 관리 자격 증명의 네트워크 공유 접근을 최소 권한으로 재검토하고, PowerShell 로깅·스크립트 블록 로깅과 EDR 명령행 수집을 활성화한다. 파일 서버에서는 민감 경로의 대량 열람·압축·반출을 경보 조건으로 둔다.
5. 침해가 확인되면 관련 계정과 토큰을 재설정하고, 공유 자원 권한·원격 관리 도구·프록시 설정·예약 작업을 함께 점검한다. C2 차단은 필요한 조치지만, 내부 이동과 문서 수집 가능성 평가를 대신하지 않는다.

참고문헌

1. Kaspersky Securelist — OctLurk and SilkLurk: newly identified tailored backdoors in cyber-espionage campaign in Central Asia

2. The Hacker News — Suspected Chinese-Speaking Hackers Target Central Asian Governments With OctLurk and SilkLurk

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.