카스퍼스키, 가짜 보고서 미끼 피싱 공격 'ForumTroll' 탐지
글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 자사의 GReAT(글로벌 연구 분석팀)이 가짜 표절 보고서를 미끼로 러시아 주요 대학 및 연구기관에 소속된 정치학자와 기타 연구자를 대상으로 한 표적형 피싱 공격인 ‘ForumTroll’ APT를 탐지했다고 밝혔다.
카스퍼스키 GReAT는 지난 2025년 10월, 카스퍼스키가 SAS 2025(Security Analyst Summit 2025)에서 ForumTroll 관련 연구를 발표하기 불과 며칠 전, 해당 조직이 수행한 새로운 공격 활동을 탐지했었다. 이번에 발견된 캠페인은 기존의 조직 중심 공격에서 벗어나, 러시아 주요 학술 및 연구기관에 소속된 정치학자, 국제관계 전문가, 경제학자 등 개인 연구자를 직접 표적으로 삼는 방향으로 초점이 이동한 것이 특징이다.
이번 공격은 카스퍼스키 GReAT가 2025년 3월 최초로 탐지하여 분석, 문서화한 ForumTroll의 작전의 연장선에 있다. 당시 카스퍼스키는 이후 CVE-2025-2783으로 추적된 크롬 취약점을 발견하고 이를 보고했다. 또한 SAS 2025에서 카스퍼스키 GReAT는 해당 APT 그룹이 상용 스파이웨어인 Dante를 사용했으며, 이는 이탈리아 스파이웨어 업체로서, 과거 해킹팀의 후속 조직인 Memento Labs와 연관된 것으로 분석했다.
2025년 10월에 공격자들은 support@e-library[.]wiki 주소를 발신자로 사용하는 피싱 이메일을 유포했다. 이 주소는 러시아의 공식 학술 포털인 elibrary.ru를 모방해 제작된 가짜 웹사이트에서 생성된 것이다. 이메일에는 수신자가 링크를 클릭해 표절 검사 보고서를 다운로드하도록 유도하는 내용이 포함돼 있었다. 해당 링크를 통해 전달된 파일은 공격 대상 학자의 이름을 파일명으로 사용한 ZIP 압축 파일이었다. 내부에는 악성코드 설치를 목적으로 한 바로가기 파일과 함께, 아카이브를 무해하게 보이기 위한 일반 이미지 파일 폴더가 포함돼 있었다.
사용자가 해당 바로가기 파일을 실행하면, 공격자의 서버와 통신하는 코드가 은밀히 실행되어 악성코드가 다운로드되고 피해자의 컴퓨터에 설치된다. 이 악성코드는 재부팅 이후에도 지속 실행되도록 구성되어 있다. 동시에 흐릿하게 처리된 PDF 파일이 열리는데, 이는 표절 검사 보고서처럼 보이도록 설계돼 공격을 일상적인 학술 절차로 인식하게 만들어 의심을 최소화하기 위한 목적이다.
최종적으로 설치되는 악성코드는 ‘Tuoni’로, 보안 테스트에 자주 사용되는 상용 해킹 도구다. ForumTroll의 손에 들어간 Tuoni는 공격자에게 피해자 디바이스에 대한 원격 접근 권한을 제공하며, 네트워크 내부에서 추가적인 악성 행위를 수행할 수 있게 한다. 카스퍼스키는 또한 공격자들이 온라인 인프라를 매우 치밀하게 구성한 점을 확인했다. 이들은 패스트리의 클라우드 네트워크에 명령·제어 서버를 호스팅했으며, 방문자의 운영체제에 따라 서로 다른 메시지를 표시하고 반복 다운로드를 제한해 분석을 어렵게 했다. 가짜 e-library[.]wiki 웹사이트는 실제 eLibrary 홈페이지를 그대로 복제한 형태였으며, 2024년 12월로 거슬러 올라가는 작업 흔적이 발견돼 수개월에 걸친 사전 준비가 있었음을 시사한다.
카스퍼스키 게오르기 쿠체린 GReAT 선임 보안 연구원은 “연구자들은 특히 공개된 연락처 정보가 포함된 학술 프로필을 보유한 경우, 고도화된 위협 행위자들의 주요 표적이 된다. 표절 주장과 같이 불안감을 유발하는 피싱 이메일은 신속한 클릭을 유도하는 데 특히 효과적일 수 있다. 개인 기기에 보안 소프트웨어를 유지하고 원치 않는 첨부 파일을 주의 깊게 다루는 것은 이러한 공격에 대한 노출을 줄이는 데 중요한 조치다”라고 말했다.
카스퍼스키 이효은 한국지사장은 “디지털 시대에 접어들며 학계 역시 새로운 사이버 공격의 표적이 되고 있다. ForumTroll과 같은 APT 조직의 활동은 매우 우려스러운 수준이며, 한국의 학술 커뮤니티 또한 높은 경각심을 유지해야 한다. 카스퍼스키는 지속적인 연구개발 투자와 첨단 기술, 전문 인력을 바탕으로 한국 사용자들이 다양한 사이버 위협에 효과적으로 대응하고 학술 연구 환경의 보안을 지킬 수 있도록 적극 지원할 것이다”라고 말했다.
ForumTroll의 실체와 해킹팀 연계 스파이웨어의 재등장을 밝혀낸 이번 카스퍼스키의 조사는 Kaspersky Next XDR Expert 솔루션의 탐지에서 시작됐다. 카스퍼스키 GReAT는 ForumTroll이 최소 2022년부터 러시아와 벨라루스 내 표적에 대해 장기간 지속적인 관심을 유지해 온 것으로 평가하고 있다.
전체 연구 보고서는 Securelist.com에서 확인할 수 있다.
카스퍼스키는 연구자 및 학술 기관 종사자에게 다음과 같은 보안 수칙을 권고한다.
• 표절 또는 연구윤리 문제를 언급하는 예상치 못한 메시지에 대해 각별히 주의하고, 외부 파일 공유 서비스나 문서 링크가 포함된 경우 특히 경계해야 한다.
• 첨부파일이나 압축 파일을 열기 전에 기관의 공식 도메인이나 기존에 사용하던 연락처 등 신뢰 가능한 공식 채널을 통해 해당 커뮤니케이션의 진위를 확인해야 한다.
• 제로데이 취약점에 대한 노출을 줄이기 위해 운영체제와 브라우저를 항상 최신 상태로 유지해야 한다.
• 악성 이메일, 스크립트, 페이로드를 효과적으로 식별하기 위해 Kaspersky Next 제품군과 같은 신뢰할 수 있는 보안 솔루션을 설치·유지해야 한다. 해당 솔루션은 실시간 보호, 종합적인 위협 가시성, 심층 조사, 고급 대응 역량을 제공해 모든 규모의 산업 조직을 지원한다.
