ESTsecurity 알약 블로그 (blog.alyac.co.kr)
기능별 C2 서버를 운용하는 Kimsuky 그룹의 새로운 LNK 악성코드 등장 · 2026-09-09
summary: 명령 전달과 감염 알림, 정보 유출을 서로 다른 정상 서비스에 분산시킨 악성 LNK(바로가기) 파일이 국내 금융 문서로 위장해 유포된 정황이 확인되었습니다. 해당 파일은 PDF 아이콘과 문서 속성 정보를 사용해 정상 문서로 위장하고 있으며, 실행 시 배치 스크립트를 단계적으로 전개해 감염 PC의 정보를 수집하고 외부로 전송합니다. 이번 공격의 가장 큰 특징은 명령제어(C2) 채널의 구성입니다. 그동안 확인된 LNK 기반 공격은 하나의 저장소 또는 하나의 서버가 명령 전달과 정보 수신을 모두 담당하는 형태가 일반적이었으나 이번 공격에서는 명령 배포, 감염 알림, 정보 유출을 서로 다른 세 개의 정상 서비스에 나누어 처리하며, 각 채널은 자신이 맡은 기능만 수행하고 나머지 기능은 갖고 있지 않습니다. LNK.. | attribution sentence: LNK 파일을 초기 침투 수단으로 사용하는 방식과 국내 업무 문서를 미끼로 활용하는 표적 성향은 북한 연계 해킹 조직인 김수키(Kimsuky)의 기존 공격과 일치하여 해당 조직의 소행으로 추정하고 있습니다. | target sentence: LNK 파일을 초기 침투 수단으로 사용하는 방식과 국내 업무 문서를 미끼로 활용하는 표적 성향은 북한 연계 해킹 조직인 김수키(Kimsuky)의 기존 공격과 일치하여 해당 조직의 소행으로 추정하고 있습니다.