북한 해킹 그룹 Lazarus와 Kimsuky의 분화 - 더 많은 그룹으로 나뉘어야 할 듯

북한의 해킹 그룹에서 유명한건 크게 Kimsuky와 Lazarus으로 나눕니다.

 

 

. MS “북 새 해킹조직, 온라인 게임 통해 악성코드 배포” (2024.05.29)
https://www.rfa.org/korean/in_focus/nk_nuclear_talks/microsoftnkcyber-05292024152557.html

. MS “북한 해커, 새 ‘랜섬웨어’로 미 국방분야 회사 침투…금전 이득 노려” (2024.05.30)
https://www.voakorea.com/a/7634128.html

MS “북한 해커, 새 ‘랜섬웨어’로 미 국방분야 회사 침투…금전 이득 노려”

 

Lazrus 그룹은 Andariel을 구분 혹은 하위 그룹으로 나눕니다.

하지만, 거대화된 Lazarus은 조금씩 하위그룹을 나누기 시작하고 있습니다.

 

https://blogs.jpcert.or.jp/en/2025/03/classifying-lazaruss-subgroup.html

Tempted to Classifying APT Actors: Practical Challenges of Attribution in the Case of Lazarus’s Subgroup - JPCERT/CC Eyes

 

여전히 연구가들마다 구분이 조금씩 다릅니다.

이름	설명
Citrine Sleet	블록체인/암호화폐 기업 공격
Famous Chollima (Jasper Sleet)	원격 IT 직무 위장 취업

 

 

최근에는 Kimsuky도 나눠야하지 않느냐는 얘기가 나옵니다.

 

From Surveillance to Espionage: Unraveling the Latest Strategies of the Kimsuky Group
https://hitcon.org/2024/CMT/slides/From_Surveillance_to_Espionage_Unraveling_the_Latest_Strategies_of_the_Kimsuky_Group.pdf

 

Zscaler는 Kimsuky 그룹을 크게 GoldDragon, AppleSeed (HttpSpy), BabyShark (ReconShark)로 나누고 있습니다.

 

 

현재 안랩에서 나눈 Kimsuky 계열입니다. (추가 될 수 있습니다.)

이름	설명
Larva-24005	RDPWrap 이용. 피싱 이메일 발송
Larva-25004	HttpSpy, Memload 등을 이용한 공격