Lazarus, 메모리 전용 RAT 투입…금융과 가상자산 정조준

국가 배후 조직이 파일을 남기지 않는 방식으로 움직이면, 탐지보다 중요한 것은 행위 기반 감시와 신원 중심 방어가 된다.

• The Hacker News는 라자루스(Lazarus)가 금융 및 암호화폐 회사를 상대로 RemotePE 메모리 전용 RAT를 사용했다고 전했다. Lazarus, RemotePE, financial and crypto firms라는 조합은 북한 연계로 알려진 고도 위협 그룹이 탐지 회피를 위해 파일리스 방식으로 침투했다는 뜻이며, 한국 금융권과 가상자산 산업에 직접적인 경고다.
• 메모리 전용 RAT는 디스크에 악성 파일을 남기지 않기 때문에 기존 백신과 파일 기반 탐지가 놓치기 쉽다. Lazarus, RemotePE, memory-only라는 기술적 특성은 공격자가 실행 흔적을 최소화해 장기 잠복과 내부 이동을 노린다는 의미이며, 한국 정부는 금융권 보안평가에서 엔드포인트 탐지의 로그 분석과 행동 기반 탐지를 필수로 봐야 한다.
• 기사에는 금액이나 비율은 없지만, 금융과 암호화폐 기업이라는 표적 범위가 중요한 정량적 신호다. Lazarus, crypto firms, financial firms라는 표적은 직접 현금화 가능성이 높은 산업을 겨냥한다는 뜻이며, 이는 한국의 가상자산 거래소 인허가와 내부통제 기준을 국가안보 관점에서 재점검해야 함을 시사한다.
• 이 사건은 국가 배후 위협이 단순 스파이 활동이 아니라 외화 획득형 침투로 진화했음을 보여준다. 한국은 금융당국, 국정원, 과기정통부가 연계해 메모리 기반 침투 탐지, 자산 이동 모니터링, 핫월렛 보호를 하나의 대응체계로 묶어야 한다.

파일이 남지 않는 공격에는 전통적 악성코드 차단만으로는 대응할 수 없다. 정부는 금융과 가상자산 핵심 사업자에게 행위 기반 탐지, 메모리 분석, 자산 이탈 모니터링을 의무화해야 한다.

주요 용어: RAT(Remote Access Trojan, 원격 제어 악성코드), 메모리 전용 공격(디스크에 파일을 남기지 않는 침투 방식), 핫월렛(온라인 상태로 운용되는 가상자산 지갑)

출처: The Hacker News