🛬 하늘을 향한 전쟁은 이미 시작되었다.

구독자님 안녕하세요!🐣

오늘은 최근에 일어난 “국가 간 드론 쟁탈전”의 주목을 가장 많이 받고 있는 사례를 함께 들여다 보려고 해요. 바로 북한 APT 라자루스가 유럽의 무인항공기(UAV) 공급망을 정조준한 최신 작전인데요. 왜 북한은 유독 ‘드론, 항공기’ 기술에 이렇게 집착하는 걸까요? ✈️

이번 기사에서는 단순한 해킹 사건이 아닌, 국가 간 기술 및 전략 경쟁의 흐름을 보여주는 다른 사례들까지 한 번에 살펴보도록 해요!

🛰️라자루스의 작전 개요

[출처]: Getty Images

지난 2025년 10월 23일, 보안 연구팀 ESET는 북한 라자루스 그룹으로부터 파생된 최신 ‘Operation DreamJob’ 캠페인을 공개했어요. 라자루스의 Operation DreamJob은 2020년경부터 본격적으로 수행한 사이버 첩보 작전의 코드네임이에요.

그간 Operation DreamJob은 공격 표적으로 중부, 남동유럽의 방산 기업들을 주요 표적으로 삼아 왔다고 해요. 특히 그 중 일부는 드론(UAV)과 핵심 부품, 소프트웨어에 깊게 관여한 기업들이 노려졌다는 점도 확인되었어요. 이들의 주 목적은 방산, 항공, 기술 분야 기업 기밀 데이터를 탈취하는 것으로, 구직자나 현직 엔지니어를 노린 사회공학 공격이 해당 캠페인의 초기 접근 방식의 핵심이었습니다.👨‍🔧

⚒️라자루스는 어떻게 UAV 기업을 해킹했을까?

출처: ESET Research

라자루스의 Operation DreamJob 캠페인은 사람을 속이는 사회공학부터, 트로이화된 오픈소스, 메모리 기반 로더 체인, 최종 RAT 장악까지 이어지는 정교한 공격 흐름을 보였는데요. 이 과정을 단계별로 한번 살펴볼까요?

1.초기 침투 단계

Operation DreamJob은 GitHub에서 구한 오픈소스 프로그램을 변조해 정상 파일처럼 위장한 뒤 이를 배포해 피해자가 “이력서용 PDF 리더기📑”를 실행하게 만들어요.

2. 로더 체인 단계 (Droppers / Loaders / Downloaders)

리더기가 실행되면 드롭퍼가 다음 단계 코드를 포함하고, 로더는 레지스트리나 파일시스템에서 암호화된 페이로드를 찾아 대칭키 암호화 방식(AES-128/ ChaCha20)🔓으로 복호화한 뒤 메모리에서 바로 실행해요. 즉, 디스크에는 암호화 상태로만 남아 백신과 포렌식 탐지를 어렵게 만드는 것이죠.

3. 대표적인 악성 로더들

실제로 QuanPinLoader(입력기 기반 위장), BinMergeLoader(WinMerge 플러그인 악용), 트로이화된 libpcre/DirectX 래퍼, ComparePlus/NPPHexEditor(노트패드++ 플러그인) 등 다양한 오픈소스 로더가 악용이 된 점이 확인되었어요. 👿

4.최종 페이로드 단계: ScoringMathTea (RAT)

체인이 완성되면 ScoringMathTea라는 원격제어 프로그램이 메모리에 올라가 시스템을 완전 장악하게 되는데요. 이때 원격 조종이 가능해져 파일과 프로세스 조작, 시스템 정보 수집, 추가 악성코드 배포, 데이터를 뺏어갈 수 있게 돼요.

5. 사이드로딩 단계

이후 정상 EXE와 악성 DLL을 함께 배포해 합법적 프로세스가 악성 DLL을 자동으로 불러오게 하여 탐지를 회피해요. 일부 샘플에선 ‘DroneEXEHijackingLoader.dll’ 같은 이름이 발견되어 UAV를 노리고 있다는 점이 강하게 의심되었어요.

6. 탐지 회피와 인증 악용 단계

Microsoft Graph API와 API 토큰을 악용해 정상 서비스처럼 보이게끔 통신하고, 전체 체인은 메모리 로딩 방식을 사용해서 디스크 흔적을 최소화했다고 해요.💽

🛩️ 드론 해킹, 이번이 처음이 아니다?

사실 2025년도에 드론을 겨냥한 공격과 침투 사례는 이번이 처음이 아닌데요. 지난 2025년 5월에는 중국어권으로 추정되는 APT 그룹이 “TIDRONE” 및 “VENOM“ 캠페인을 통해 드론 공급망 내 소프트웨어와 서비스 제공업체를 침투한 정황이 밝혀졌어요. 해당 사건은 해킹이 단순히 기체나 센서를 노린 것이 아닌 공급망 전체를 공격 대상으로 했다는 점에서 드론 기술의 설계, 생산, 운용 과정의 전부가 보안 리스크가 될 수 있다는 점을 시사해주었어요. 💡

또한 2025년 7월에는 Ukrainian Cyber Alliance 같은 우크라이나 지원 해커 그룹들이 러시아 군용 드론 공급사로 알려진 Gaskar Group의 네트워크를 침해했다고 발표했어요. 해당 사건은 해커들이 해당 사의 서버 인프라를 장악해 47 테라바이트 데이터를 파괴하거나 탈취했다는 사실이 알려지면서, 드론 기술 및 운용 데이터가 실제 전쟁터에서 중요한 가치가 있다는 것을 잘 보여준 사례로 남아있다고 해요.🪖

🪖 라자루스의 표적, 우크라이나

출처: 경향신문

흥미로운 점은, 이 표적 기업들이 단순히 민간 기업이 아닌 우크라이나 전장에서 운용 중인 서방제 무기 체계와 연관될 가능성이 있다는 것이에요. 특히 표적이 된 기업들의 기업명이 공개되지 않았지만, 단순히 민간 기업이 아닌 우크라이나 전장에서 운용 중인 서방제 무기 체계와 연관될 가능성이 있다는 보도가 공개되었어요. (링크) 공격이 관측된 세 기업은 다음과 같이 묘사됐어요.

• 남동유럽 소재 금속공학회사 (metal engineering company)

• 중부유럽 소재 항공기부품제조업체 (manufacturer of aircraft components)

• 중부유럽 소재 방산회사 (defense company)

또한, 리포트는 “이들 기업이 생산하는 장비 중 상당수가 우크라이나에 배치된 서방제 무기 시스템과 연관되어 있다”는 점을 지적했고, 해당 시기에는 북한 인력이 러시아 측 작전에 투입됐다는 보도도 맞물려 나타났어요. 즉 이 모든 정황을 종합하면, 라자루스가 UAV 관련 설계, 제조 노하우를 빼내기 위해 표적을 설정했을 가능성이 높다고 할 수 있어요. 🔍

🔫국가는 왜 ‘드론‘을 노리는가

[출처]: Eurodrone

그렇다면 왜 국가의 표적이 항공기와 드론으로 겨냥이 되는지 궁금하실텐데요.🛰️ 이는 드론이 단순한 기계 장비가 아니라 설계 기술, 운용 데이터, 원격 제어 체계가 결합된 ‘복합 기술 플랫폼’이기 때문이에요. 복합 기술 플랫폼을 확보하면 단순히 장비 하나를 얻는 것이 아닌 관련 기술과 실제 운용 방식까지 함께 파악할 수 있다는 점에서 전략적 가치가 큰데요. 이유는 아래와 같아요.

먼저 드론의 설계 측면에서 완성된 기체의 도면, 제조 공정, 펌웨어를 확보하면 연구개발 기간과 비용을 대폭 단축할 수 있어서 전략적 가치가 크다고 해요. 또한 운용 로그, 비행 프로파일, 센서 출력과 같은 실전 데이터는 실험 데이터가 얻기 어려운 ‘현장 검증 정보’를 제공하므로, 실제 전투, 정찰 성능을 빠르게 파악하고 취약점을 찾아내는 데 결정적인 데이터를 제공해요. 동시에 통신, 항법, 제어 취약점은 국가의 전술적 우위로 바로 연결될 수 있어요. 예를들어 항법이나 통신 링크를 교란하거나 GPS를 스푸핑하면 정찰을 무력화하거나 전술적 혼란을 야기할 수 있고, 극단적으론 역제어로 전장을 즉시 바꿀 수도 있는 가능성을 생각해볼 수 있겠죠?🫢

때문에 국가 차원에서 군사적 우위 확보, 역공학을 통한 기술 단축, 제재 회피를 위한 자립과 공정 확보 목적을 동시에 달성하기 위해 드론에 사이버 수단을 동원하게 되는 것이죠. 이번 라자루스 사건에서 표적 가운데 일부 기업이 우크라이나 전선과 연결되어 있었다는 사실 또한 이들의 목적이 단순한 설계 도난을 넘어 ‘현장에서 검증된 성능과 취약점 정보’ 확보였을 가능성이 높다는 것을 확인할 수 있어요. 결국 해당 사례 또한 바로 그 점을 노린 국가적 차원의 기술 쟁탈전의 한 단면을 보여줍니다.

마무리

이번 라자루스의 사건은 국가 간 기술 전쟁의 새로운 전선이 열렸다는 신호라고 볼 수 있어요. 실제 전장에서 운용되는 UAV의 설계와 데이터를 노린 공격은, 드론과 같은 무기 체계를 통해 사이버 공간이 실제 전장의 중요한 한 축으로 작동하고 있다는 점을 알 수 있어요.

드론은 앞으로 국가에 얼마나 더 큰 파급력을 가져올까요? 그리고 앞으로는 국가 간 사이버 첩보 활동에서 어떤 장비와 기술, 어떤 기업이 새로운 표적이 될까요?

다음 뉴스레터는 더 흥미로운 주제로 이어가 볼께요. 앞으로도 계속 지켜봐 주세요! ✨

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌