.jpg)
.jpg)
비트디펜더, VLC 미디어 플레이어 등 잘 알려진 실행 파일 악용하는 ‘DLL 사이드로딩’ 기법 사용
[보안뉴스 김형근 기자] 중국 연계 해킹 조직인 머스탱 판다가 2025년 한 해 동안 고도화된 ‘쿨클라이언트(COOLCLIENT)’ 백도어를 사용해 아시아 전역의 정부 기관을 심각하게 공격했던 것으로 밝혀졌다.
심각한 것은 이들의 위협이 2026년 현재까지도 지속되고 있다는 점이다. 이들의 주 타깃은 미얀마, 몽골, 말레이시아, 러시아 등이며, 최근에는 파키스탄과 태국까지 공격 범위를 정밀하게 넓히고 있는 것으로 확인됐다.
카스퍼스키의 보고서에 따르면, 이들은 쿨클라이언트를 플러그엑스(PlugX)나 루미너스모스(LuminousMoth)와 함께 보조 백도어로 철저하게 활용하고 있다.
특히 이들은 비트디펜더(Bitdefender), VLC 미디어 플레이어 등 신뢰받는 합법적 실행 파일을 악용하는 DLL 사이드로딩 기법을 사용한다. DLL 사이드로딩(Sideloading) 기법이란 정상 프로그램을 실행할때 악성 DLL을 먼저 실행하도록 하는 것으로, 보안 솔루션의 시그니처 탐지를 우회해 많은 공격 그룹이 활용해왔다.
쿨클라이언트는 감염된 시스템에서 키보드 입력, 클립보드 내용, 파일 목록 등을 속속들이 수집해 공격자의 서버로 전송하는 기능을 갖췄다. 또한 HTTP 트래픽 패킷을 분석해 프록시 자격 증명을 훔치거나, 메모리 내에서 추가 플러그인을 실행하는 등 기술적 진화를 보여주었다.
이번에 발견된 플러그인 중에는 서비스 관리(ServiceMgrS), 파일 관리(FileMgrS), 원격 쉘(RemoteShellS) 등이 포함돼 있어 시스템 제어권을 낱낱이 장악할 수 있다.
머스탱 판다는 구글 크롬, MS 엣지 등 크로뮴 기반 브라우저에서 저장된 로그인 정보를 추출하는 세 가지 변종 스틸러를 정밀하게 배포했다. 심지어 모질라 파이어폭스의 쿠키 파일인 ‘cookies.sqlite’를 구글 드라이브로 직접 유출하기 위해 cURL 명령을 사용하는 대담한 수법도 구사했다.
이 공격 그룹은 ‘톤쉘(TONESHELL)’이나 ‘큐리버스(QReverse)’ 같은 악성코드를 병행 사용해 시스템에 장기간 상주하며 데이터를 빼돌린다. 이들은 또한 배치 파일과 파워쉘 스크립트를 동원해 문서 탈취와 시스템 정보 수집 활동을 철저히 수행하는 것으로 드러났다.
카스퍼스키는 이번 캠페인이 단순히 문서를 훔치는 전통적인 스파이 활동을 넘어, 사용자의 일거수일투족을 감시하는 ‘실시간 감시’ 단계로 진화했다고 분석했다. 조사 과정에서 루미너스모스 조직과 코드 수준의 유사성이 발견돼 해킹 그룹 간에 공격 도구를 정밀하게 공유하고 있을 가능성도 제기됐다. 더구나 USB 웜인 ‘톤디스크(TONEDISK)’를 활용해 폐쇄망까지 침투하려는 시도는 이들의 공격이 얼마나 심각한지를 잘 보여주는 대목이다.
정부 부처와 텔레콤 운영사 등 국가 핵심 인프라가 이들의 중대한 타깃이 되고 있어, 엔드포인트 보안 강화가 어느 때보다 시급하다. 결론적으로 머스탱 판다의 쿨클라이언트 업데이트는 중국발 사이버 스파이 위협이 갈수록 정교하고 심각해지고 있음을 증명하는 사례다.
[김형근 기자(editor@boannews.com)]
[보안뉴스 김형근 기자] 중국 연계 해킹 조직인 머스탱 판다가 2025년 한 해 동안 고도화된 ‘쿨클라이언트(COOLCLIENT)’ 백도어를 사용해 아시아 전역의 정부 기관을 심각하게 공격했던 것으로 밝혀졌다.
[출처: gettyimagesbank]
심각한 것은 이들의 위협이 2026년 현재까지도 지속되고 있다는 점이다. 이들의 주 타깃은 미얀마, 몽골, 말레이시아, 러시아 등이며, 최근에는 파키스탄과 태국까지 공격 범위를 정밀하게 넓히고 있는 것으로 확인됐다.
카스퍼스키의 보고서에 따르면, 이들은 쿨클라이언트를 플러그엑스(PlugX)나 루미너스모스(LuminousMoth)와 함께 보조 백도어로 철저하게 활용하고 있다.
특히 이들은 비트디펜더(Bitdefender), VLC 미디어 플레이어 등 신뢰받는 합법적 실행 파일을 악용하는 DLL 사이드로딩 기법을 사용한다. DLL 사이드로딩(Sideloading) 기법이란 정상 프로그램을 실행할때 악성 DLL을 먼저 실행하도록 하는 것으로, 보안 솔루션의 시그니처 탐지를 우회해 많은 공격 그룹이 활용해왔다.
쿨클라이언트는 감염된 시스템에서 키보드 입력, 클립보드 내용, 파일 목록 등을 속속들이 수집해 공격자의 서버로 전송하는 기능을 갖췄다. 또한 HTTP 트래픽 패킷을 분석해 프록시 자격 증명을 훔치거나, 메모리 내에서 추가 플러그인을 실행하는 등 기술적 진화를 보여주었다.
이번에 발견된 플러그인 중에는 서비스 관리(ServiceMgrS), 파일 관리(FileMgrS), 원격 쉘(RemoteShellS) 등이 포함돼 있어 시스템 제어권을 낱낱이 장악할 수 있다.
머스탱 판다는 구글 크롬, MS 엣지 등 크로뮴 기반 브라우저에서 저장된 로그인 정보를 추출하는 세 가지 변종 스틸러를 정밀하게 배포했다. 심지어 모질라 파이어폭스의 쿠키 파일인 ‘cookies.sqlite’를 구글 드라이브로 직접 유출하기 위해 cURL 명령을 사용하는 대담한 수법도 구사했다.
이 공격 그룹은 ‘톤쉘(TONESHELL)’이나 ‘큐리버스(QReverse)’ 같은 악성코드를 병행 사용해 시스템에 장기간 상주하며 데이터를 빼돌린다. 이들은 또한 배치 파일과 파워쉘 스크립트를 동원해 문서 탈취와 시스템 정보 수집 활동을 철저히 수행하는 것으로 드러났다.
카스퍼스키는 이번 캠페인이 단순히 문서를 훔치는 전통적인 스파이 활동을 넘어, 사용자의 일거수일투족을 감시하는 ‘실시간 감시’ 단계로 진화했다고 분석했다. 조사 과정에서 루미너스모스 조직과 코드 수준의 유사성이 발견돼 해킹 그룹 간에 공격 도구를 정밀하게 공유하고 있을 가능성도 제기됐다. 더구나 USB 웜인 ‘톤디스크(TONEDISK)’를 활용해 폐쇄망까지 침투하려는 시도는 이들의 공격이 얼마나 심각한지를 잘 보여주는 대목이다.
정부 부처와 텔레콤 운영사 등 국가 핵심 인프라가 이들의 중대한 타깃이 되고 있어, 엔드포인트 보안 강화가 어느 때보다 시급하다. 결론적으로 머스탱 판다의 쿨클라이언트 업데이트는 중국발 사이버 스파이 위협이 갈수록 정교하고 심각해지고 있음을 증명하는 사례다.
[김형근 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
.gif)
.png)
.jpg)
