北 라자루스, 가짜 채용공고로 윈도 제로데이(CVE-2026-68820) 공격…방산기업 노렸다

eins-solutionlab 2026. 8. 27. 14:16

북한과 연계된 것으로 알려진 해킹 조직 라자루스가 마이크로소프트 윈도의 제로데이 취약점을 실제 공격에 활용한 사실이 확인되었습니다. 공격자는 기업 채용 담당자로 위장해 피해자에게 접근한 뒤, 악성 파일 실행을 유도하는 사회공학적 수법을 사용한 것으로 나타났습니다. 이번 글에서는 CVE-2026-68820 취약점의 구체적인 내용과 공격 방식, 그리고 관련 조직이 취해야 할 대응 방안을 정리했습니다.

CVE-2026-68820, 윈도 커널 권한 상승 취약점의 실체

이번에 실제 공격에 악용된 취약점은 CVE-2026-68820으로, 윈도 커널에서 발생하는 권한 상승 취약점입니다. CVSS 기준 7.0점으로 매겨져 있으며, afd.sys라는 윈속용 보조 기능 드라이버(Ancillary Function Driver for WinSock)에서 발생하는 use-after-free 결함이 원인입니다. 이 취약점을 악용하면 이미 시스템에 침투한 공격자가 특수하게 제작된 애플리케이션을 실행해 경합 조건을 유발하고, 최종적으로 시스템에서 가장 높은 권한인 SYSTEM 권한까지 획득할 수 있습니다.

마이크로소프트는 이 취약점을 포함한 421개의 CVE를 2026년 8월 정기 보안 업데이트를 통해 한꺼번에 수정했습니다. 보안 전문가들은 과거 afd.sys 드라이버를 겨냥한 공격 패턴을 고려할 때, 이번 공격에도 국가 지원을 받는 위협 행위자가 개입했을 가능성이 높다고 분석했습니다. 실제로 이번 공격의 배후로는 북한과 연계된 것으로 알려진 라자루스 그룹이 지목되었습니다.

'오퍼레이션 드림잡', 가짜 채용공고로 접근한 라자루스

보안 업체 체크포인트 리서치의 분석에 따르면, 라자루스 그룹은 이번 공격에서 '오퍼레이션 드림잡'이라는 이름의 캠페인을 통해 피해자에게 접근했습니다. 공격자는 실제 기업의 채용 담당자를 사칭해 피해자와 접촉한 뒤, 채용 관련 문서로 위장한 악성 파일을 실행하도록 유도하는 방식을 사용했습니다. 이는 구직자나 이직을 고려하는 실무자들이 채용 관련 메일이나 파일에 상대적으로 경계심을 낮춘다는 점을 노린 전형적인 사회공학 기법입니다.

피해자가 악성 파일을 실행하면 공격자는 CVE-2026-68820 취약점을 이용해 SYSTEM 권한을 획득한 뒤, 'FudModule'이라는 이름의 루트킷을 실행하는 것으로 확인되었습니다. 이 루트킷은 커널 수준에서 동작하며 EDR(Endpoint Detection and Response, 엔드포인트 탐지 및 대응) 제품의 감시 기능을 우회하도록 설계되어 있어, 일반적인 보안 솔루션으로는 탐지가 쉽지 않다는 점이 특히 우려되는 대목입니다. 이번 공격의 주요 표적은 방산 및 항공우주 분야 조직으로 파악되었으며, 이는 라자루스 그룹이 그동안 보여온 국가 배후 첩보 활동의 특성과도 일치합니다.

방산·항공우주 업계가 지금 확인해야 할 것

이번 사례는 제로데이 취약점 하나가 정교한 사회공학 공격과 결합될 때 얼마나 위험할 수 있는지를 잘 보여줍니다. 관련 업계 종사자들은 우선 자사 시스템에 2026년 8월 정기 보안 업데이트가 정상적으로 적용되었는지 확인해야 합니다. 특히 afd.sys 관련 서비스의 설치 여부와 네트워크 노출 상태를 점검하는 것이 우선순위입니다.

또한 채용 관련 메일이나 첨부파일을 실행하기 전, 발신자의 신원과 도메인을 재차 확인하는 절차를 마련할 필요가 있습니다. 방산이나 항공우주처럼 국가 배후 공격의 표적이 되기 쉬운 산업군에서는 이미 알려진 침해 지표(IOC)와 자사 시스템의 로그를 대조해 의심스러운 채용 관련 파일 실행 흔적이 있었는지도 함께 점검하는 것이 안전합니다.

참고 자료

마무리

라자루스 그룹은 가짜 채용공고를 미끼로 윈도 커널의 제로데이 취약점 CVE-2026-68820을 악용해 방산·항공우주 업계를 공격했습니다. 마이크로소프트가 8월 정기 업데이트로 이를 포함한 421개 취약점을 수정한 만큼, 관련 조직은 패치 적용 여부와 채용 관련 파일 실행 이력을 지금 바로 점검할 필요가 있습니다. 국가 배후 공격 동향은 앞으로도 계속 추적해 전달하겠습니다.