PicassoLoader JavaScript 변형

'고스트라이터(Ghostwriter)'라는 이름의 사이버 공격 그룹이 우크라이나 정부 기관을 겨냥한 새로운 사이버 공격의 배후로 지목되었습니다. 2016년부터 활동해 온 이 그룹은 동유럽 전역에서 사이버 스파이 활동과 영향력 행사 공작을 벌인 것으로 악명이 높으며, 특히 우크라이나와 인접 국가들을 중심으로 활동 범위를 넓혀왔습니다.

해당 공격자는 FrostyNeighbor, PUSHCHA, Storm-0257, TA445, UAC-0057, Umbral Bison, UNC1151, White Lynx 등 여러 가명으로 추적되고 있습니다. 이 그룹은 수년에 걸쳐 보안 통제를 우회하고 장기적인 운영 효율성을 유지하기 위해 인프라, 공격 방식, 회피 기법을 지속적으로 개선해 왔습니다.

끊임없이 진화하는 악성 소프트웨어 무기고

Ghostwriter는 지속적으로 악성코드 생태계와 유포 기법을 현대화해 왔습니다. 초기 캠페인에서는 PicassoLoader 악성코드 계열을 주로 사용했는데, 이는 Cobalt Strike Beacon 및 njRAT과 같은 추가 페이로드를 전달하는 수단으로 활용되었습니다.

2023년 말, 해당 그룹은 WinRAR 취약점(CVE-2023-38831)을 악용하여 PicassoLoader와 Cobalt Strike를 배포하는 등 공격 범위를 확장했습니다. 다음 해에는 폴란드 기관들이 Roundcube의 크로스 사이트 스크립팅(XSS) 취약점(CVE-2024-42009)을 이용한 피싱 공격의 표적이 되었습니다. 이 악성 행위를 통해 공격자는 피해자로부터 이메일 계정 정보를 탈취할 수 있는 JavaScript 코드를 실행할 수 있었습니다.

해킹당한 계정은 이후 2025년 6월에 사서함 내용을 검사하고 연락처 목록을 탈취하며 추가 피싱 메시지를 배포하는 데 사용되었습니다. 2025년 말까지 해당 그룹은 고급 분석 방지 기술을 운영에 통합했습니다. 특정 유인 문서에는 동적 CAPTCHA 인증이 사용되어 악성 감염 체인을 선택적으로 활성화하고 자동 분석 환경을 무력화했습니다.

정교한 스피어피싱 공격이 우크라이나를 겨냥하고 있습니다.

2026년 3월 이후, 연구원들은 악성 PDF 첨부 파일을 포함한 스피어 피싱 이메일을 통해 우크라이나 정부 기관을 겨냥한 새로운 공격 캠페인을 관찰했습니다. 이 가짜 문서는 우크라이나 통신 사업자 우크르텔레콤(Ukrtelecom)을 사칭하여 합법적인 것처럼 보이게 하고 피해자의 접근을 유도합니다.

이 공격은 PDF 파일 내에 삽입된 링크를 이용해 피해자를 자바스크립트 기반 페이로드가 포함된 악성 RAR 압축 파일로 리디렉션하는 방식으로 이루어집니다. 실행되면 악성 프로그램은 합법적인 문서처럼 보이도록 위장 문서를 표시하는 동시에 백그라운드에서 자바스크립트 변종 PicassoLoader를 조용히 실행합니다. 이후 이 로더는 감염된 시스템에 Cobalt Strike Beacon을 배포합니다.

지리적 제한 및 피해자 검증을 통해 은밀성을 강화합니다.

이번 최신 공격 캠페인의 가장 주목할 만한 특징 중 하나는 지리적 제한(geofencing) 및 계층형 피해자 검증 메커니즘의 구현입니다. 우크라이나 이외 지역의 IP 주소에서 접속하는 시스템은 악성 페이로드 대신 무해한 PDF 콘텐츠를 수신하게 되어 연구원과 자동 스캔 시스템에 노출될 가능성이 크게 줄어듭니다.

이 멀웨어는 추가 페이로드를 전달하기 전에 감염된 호스트에 대한 광범위한 핑거프린팅 작업을 수행합니다. 수집된 시스템 정보는 10분마다 공격자가 제어하는 인프라로 전송되어 운영자가 피해자에 대한 추가 공격 여부를 수동으로 판단할 수 있도록 합니다. 이러한 검증 과정이 완료된 후에야 인프라는 Cobalt Strike Beacon을 설치하는 3단계 JavaScript 드로퍼를 전달합니다.

이 작전은 사용자 에이전트 및 IP 기반 검증을 포함한 자동 필터링 방법과 수동 운영자 검토를 결합하여 매우 체계적이고 성숙한 공격 방식을 보여줍니다.

지역 타겟팅 전략이 동유럽 전역으로 확대됩니다

현재 활동은 주로 우크라이나의 군사, 국방 및 정부 기관에 집중되어 있는 것으로 보입니다. 그러나 폴란드와 리투아니아에서 고스트라이터 소행으로 추정되는 작전들은 여러 핵심 분야에 걸쳐 광범위한 공격 전략을 펼치고 있음을 보여줍니다.

• 산업 및 제조 조직
• 의료 및 제약 기관
• 물류 제공업체
• 정부 기관

고스트라이터의 도구, 전달 메커니즘 및 운영 보안 관행의 지속적인 발전은 이 그룹의 끈기와 적응력을 보여줍니다. 맞춤형 미끼 문서, 선택적 페이로드 전달, 분석 방지 기술 및 수동 피해자 검증을 결합하는 능력은 탐지를 회피하면서 작전 효과를 극대화하도록 설계된 정교한 사이버 스파이 역량을 보여줍니다.