보안

북한 해킹조직, "원격 근무 허점 파고든다"…크라우드스트라이크, 노트북 팜 활용 기기 식별자 위조 정황 확인

테크월드뉴스 · 2026년 10월 19일

✦ AI 요약

북한 연계 해킹조직은 미국 내 노트북 팜으로 위치와 신원을 숨기고 위장 취업을 해온 것으로 파악됐다.

크라우드스트라이크는 19일 FBI와 협력해 페이머스 천리마 관련 대응에 나서 미국 전역의 여러 노트북 팜을 차단했다고 밝혔다.

분석 결과 이들은 허위·도용 신원, 허위 경찰 신고, 막판 이사 주장, IT 인력 파견 업체 경유, 기기 해시 위조, 비디오 캡처 카드의 웹캠 위장 등을 사용했고, 피해 조직은 수십 곳이었다.

북한 연계 해킹조직의 미국 내 위장 취업 수법이 고도화한 것으로 나타났다. 기존에는 미국 내 노트북 팜을 활용해 실제 위치·신원을 은폐하는 방식이 확인됐는데, 최근에는 기기 식별자 위조 정황까지 더해져 보안 탐지를 회피하는 수법이 한층 정교해진 것으로 분석됐다.

이런 흐름 속에서 크라우드스트라이크는 19일 발표에서 FBI와 협력해 북한 연계 공격 그룹 페이머스 천리마(FAMOUS CHOLLIMA) 관련 대응에 나섰다고 밝혔다. 크라우드스트라이크는 FBI와의 협력을 통해 미국 전역에서 운영되던 여러 노트북 팜을 차단했다고 설명했다.

페이머스 천리마는 노트북 팜을 이용해 실제 위치·신원을 숨긴 채 미국 기업에 요원을 부정 취업시키고, 부당 취득한 급여를 북한 정권에 유입시킨 것으로 파악됐다. 이 과정에서 미국 내 조력자들은 기업 지급 노트북을 대리 수령하고 원격 접속 환경을 구축했으며, 북한 조직원들은 정상적인 미국 내 근무자로 가장해 기업 시스템에 접근한 것으로 전해졌다.

크라우드스트라이크 분석 결과, 북한 요원들이 관여한 것으로 나타났다. 이들은 허위·도용 신원으로 취업하고, 허위 경찰 신고와 막판 이사 주장, IT 인력 파견 업체 경유 등의 기만 수법을 사용했다. 목적은 고용주가 지급한 노트북의 노트북 팜 배송을 유도하는 데 있었고, 활동 과정에서는 RMM 도구 사용을 은폐했다.

또한 이들은 2026년 5월부터 기기 해시를 위조했고, 비디오 캡처 카드를 웹캠으로 위장했다. 대표적 수법은 비디오 캡처 카드의 웹캠 위장이었다. 여러 피해 조직에서는 동일한 위장 기기가 재사용된 정황이 포착됐고, 노트북 팜 네트워크에서는 다수 가짜 계정이 동일 기기 식별자를 공유한 사례도 발견됐다.

이 같은 정황은 공격자들이 방어자 추적 지표를 인지하고 있었음을 보여준다. FBI와의 협력 작전에서 회사가 확인한 피해 조직 수는 수십 곳이었다. 피해 산업은 항공우주, 에너지, 금융, 의료, 사이버보안이었고, 공격은 원격 근무 가능 기업 전반을 대상으로 진행됐다.

애덤 마이어스(Adam Meyers) 크라우드스트라이크 공격 대응 작전 총괄은 노트북 팜이 해외에서 쉽게 해결하기 어려운 물리적·재정적·법적 문제를 해소하며, 페이머스 천리마 수익 창출 활동의 필수 요소라고 설명했다. 그는 이번 작전이 법 집행 기관과 크라우드스트라이크가 공격자 인프라를 파악하고 움직임을 적극 추적하고 있음을 보여주는 신호라고 밝혔다.

마이어스는 노트북 팜 1개 차단만으로는 영향이 제한될 수 있다고 보면서도, 이번과 같은 차단 작전은 공격자에게 인프라 재구축과 거점 이전을 강제하고 활동 비용을 상승시킨다고 말했다. 또 알려진 페르소나와 지표는 쉽게 변화할 수 있다며, 기업은 채용 후보자의 신원을 확인할 때 표준 신원 조회를 하고, 여러 프로필 간 정보가 반복 사용되는지 점검하며, 원격 컴퓨팅 애플리케이션 사용 여부와 거주지와 배송 주소의 불일치 여부를 점검할 필요가 있다고 권고했다.

크라우드스크라이크는 FBI와 공조해 미국 전역에서 운영되던 여러 노트북 팜을 차단했지만, 이번 조치만으로는 북한 해킹조직 활동을 근본적으로 차단하기는 어렵다고 판단했다. 일부 노트북 팜이 폐쇄되더라도 다른 지역에서 인프라를 재구축할 가능성이 있고, 새 조력자를 확보해 활동을 지속할 가능성도 있다고 봤다.

출처: 테크월드뉴스 · 김혜진 기자
원문: https://www.epnc.co.kr/news/articleView.html?idxno=408373