HWP 문서 기반 APT 공격의 실태 —
Kimsuky·APT37 심층 분석

2025년 12월 22일 보안 업계에 "아르테미스 작전"이라는 이름이 등장했다^[1]. 북한 연계 APT 그룹 APT37이 한글(HWP) 문서와 DLL 사이드로딩을 결합한 정밀 표적 공격을 수행한 정황이 지니언스 시큐리티센터에 의해 포착됐다는 보도였다. "한글 파일을 열었더니 감염" — 이 문장이 한국 보안 담당자들에게 낯설지 않다는 사실 자체가, 우리가 무엇을 반복적으로 놓치고 있는지 말해준다. 이 글은 Kimsuky와 APT37, 두 대표 APT 그룹이 HWP 문서를 공격 벡터로 삼아온 방식 — 2013년부터 2025년까지 — 을 연도별·기법별로 정리하고, 조직이 2026년 기준으로 바로 적용할 수 있는 방어 설계를 제안한다.

북한 연계 APT 그룹들이 한국 조직을 겨냥할 때 가장 먼저 고려하는 것은 "어떤 파일 포맷이 가장 많이 열리는가"다. 이 질문에 대한 답은 분명하다 — 한글(HWP)이다. 공공기관·언론·학계·탈북민 단체·방산업계 모두 HWP를 일상적으로 사용한다. 업무 문서의 대부분이 HWP이므로, 공격자가 HWP를 보내도 수신자가 의심하지 않는다. 공격 성공률의 가장 큰 변수는 사용자의 첫 반응이다. 의심 없이 열리는 포맷이 공격자에게는 가장 강력한 무기다.

여기에 구조적 요인이 더해진다. HWP 파일 포맷은 OLE 복합 문서 구조를 기반으로 설계됐고, 내부에 다양한 형태의 실행 가능 콘텐츠가 임베드될 수 있다. 포스트스크립트, 매크로, 임베디드 OLE 객체, 외부 참조 URL 자동 호출, LNK 바로가기까지 — 공격자가 활용할 수 있는 벡터가 광범위하다. 글로벌 보안 벤더들은 이 포맷을 완전히 지원하지 못하는 경우가 많다. 글로벌 CDR·샌드박스 제품이 HWP 내부의 세밀한 구조까지 해부하지 못하면, 악성 요소가 탐지·제거 없이 통과한다. 결과적으로 Kimsuky와 APT37은 "열리기 쉽고 검사되기 어려운 포맷"을 찾았고, 그것이 HWP였다.

Kimsuky는 북한 정찰총국 연계로 분류되는 APT 그룹이다. 국제 보안 커뮤니티에서는 APT43 또는 Thallium이라는 이름으로도 불린다. KISA의 과거 분석 보고서에 "Kimsuky APT 악성코드"가 별도 챕터로 다뤄질 정도로^[5], 한국 사이버 위협 환경에서 비중이 크다.

Kimsuky가 만들어온 악성코드 패밀리

Kimsuky의 악성코드 패밀리는 "샤크(Shark)" 계보로 알려져 있다. 시기별로 이름이 달라지지만 핵심 아키텍처는 유사하다.

• BabyShark — 2018년경부터 확인된 초기 패밀리. 기본적인 정보 수집·C2 통신
• ReconShark — 정찰(Reconnaissance) 기능 특화. 표적 환경 분석
• ToddlerShark — 경량화·지속성 강화 버전
• BlueShark — Genians가 2024~2025년 분석한 최신 변종^[6]

표적과 미끼의 진화

Kimsuky는 "대상자의 업무나 관심사와 관련된 내용"으로 위장한 스피어피싱을 체계적으로 사용한다^[7]. ASEC이 공개한 실제 사례들은 놀라울 정도로 정교하다.

시점	위장 미끼	표적 유형
2022년	한반도 대북 정책 / 한미·한중 외교 질문 문서	외교·안보 전문가
2024년	논문 파일 위장 — 학술 포맷으로 HWP 유포[8]	학자·연구자
2025년 상반기	강연 의뢰서 위장 — HWP + MSC 관리콘솔 결합[9]	학계·언론 인사
2025년 2분기	KB국민은행 사칭 HWP + LNK 결합[10]	일반 사용자·기업 직원
2025년 하반기	외신 인터뷰 의뢰 사칭 — OLE 임베디드[11]	국내 언론·논평가
2026년 상반기	위탁교육생 선발 사칭 — HWPX + JSE 복합[12]	공공기관 담당자

표에서 눈에 띄는 패턴이 있다. 미끼가 점점 더 타깃 개인화된다는 점. 2022년의 "대북 정책 질문"은 외교 관계자라면 누구든 관심 있을 만한 일반 미끼였다. 2025년의 "강연 의뢰"나 "외신 인터뷰 의뢰"는 특정 전문가를 겨냥한 정밀 공격이다. 공격자가 SNS·공개 정보로 타깃을 정찰한 뒤 맞춤형 미끼를 설계한다.

APT37은 Reaper 또는 ScarCruft라고도 불린다. 정부·방산·탈북민 커뮤니티·독립 기자를 주된 표적으로 삼는다. 2025년 12월 보도된 "아르테미스 작전"은 APT37의 기법 진화를 보여주는 대표 사례다^[1].

아르테미스 작전의 구조

아르테미스 작전은 HWP 문서 + DLL 사이드로딩의 결합이다. 지니언스 시큐리티센터의 분석에 따르면^[13], 공격 흐름은 다음과 같다.

APT37의 2026년 진화 — SNS 정찰 + 클라우드 유출

2026년 보고된 새로운 캠페인에서 APT37은 페이스북과 텔레그램을 활용한다^[14]. 표적과 장기간 신뢰 관계를 SNS에서 형성한 뒤, 정상 문서 뷰어로 위장한 악성 설치 파일을 실행하도록 유도하는 방식이다. 공격이 이메일 한 통으로 끝나지 않고, 수 주~수 개월에 걸친 사회공학의 일부가 된다. 이 진화는 두 가지 시사점을 던진다. 첫째, 공격자가 점점 더 표적 맞춤화된다는 것. 둘째, 보안이 엔드포인트·메일 게이트웨이만으로는 부족하다는 것. SNS·개인 채널을 포함한 전방위 경계가 필요해진다.

공격 기법이 매번 새로워 보이지만, 실상은 소수의 구조적 벡터가 반복 조합된다. 방어자 입장에서는 이 구조적 분류를 이해하는 것이 개별 캠페인을 쫓는 것보다 훨씬 효율적이다.

기법	동작 방식	탐지 난이도	CDR 무력화
매크로 (VBA · 스크립트)	문서 열람 시 자동 실행	중	구조 제거
OLE 객체 임베드	정상 객체로 위장한 악성 콘텐츠	상	구조 제거
LNK 바로가기	클릭 시 외부 스크립트 실행	상	유형 제거
포스트스크립트	HWP 내 PS 코드 실행	상	구조 제거
MSC 관리 콘솔	정상 관리 도구 악용	상	부분
DLL 사이드로딩	정상 DLL 교체 주입	상	부분
외부 링크 자동 호출	문서 열람 시 외부 리소스 로드	중	링크 차단
HWPX 제로데이	포맷 파서 취약점 악용	최상	구조 기반 방어

이 표에서 중요한 관찰은 "탐지 난이도가 높은 기법일수록 CDR의 구조적 방어가 결정적"이라는 점이다. 탐지 기반 방어는 새 기법 등장 시마다 시그니처가 따라붙어야 하지만, CDR은 "실행 가능한 구조 요소 전체 제거"라는 원리로 작동하므로 기법 종류와 무관하다.

수치로만 보면 위협의 심각성이 잘 드러나지 않는다. 실제 사례 몇 건을 살펴보자.

사례 1 — 논문 위장 HWP (2024년 ASEC 보고)

ASEC 분석팀이 확인한 사례다^[8]. 학술 논문으로 위장한 HWP 파일이 연구자들에게 배포됐다. "본 사례와 같이 이러한 APT 공격은 주로 대상자의 업무나 관심사와 관련된 내용으로 위장되어 있어, 사용자가 악성코드에 감염될 위험이 크다. 따라서 출처가 불분명한 파일은 실행을 자제하고, 파일의 확장자를 반드시 확인하는 등 각별한 주의가 필요하다." — ASEC의 결론이다.

이 사례가 보여주는 핵심은 "사용자 교육만으로는 한계가 분명하다"는 것. 연구자에게 논문 파일이 오면 의심하지 않는 것이 자연스럽다. 업무 맥락에 맞춘 미끼는 경계를 낮춘다. 시스템적 방어가 필요하다.

사례 2 — 강연 의뢰서 위장 HWP+MSC (2025년 ASEC 보고)

2025년 확인된 이 사례는 기법 진화를 보여준다^[9]. "최근 특정 사용자를 대상으로 하는 강연 의뢰서를 위장한 악성코드가 확인되었다. 유포 파일로는 한글 문서(HWP) 파일과 MSC 확장자 형식의 파일이 확인되었으며, 추가 악성 파일을 다운로드한다. 정상 문서로 위장하기 위한 디코이 문서 파일에는 개인..." 디코이(decoy) 문서가 결정적이다. 사용자가 HWP를 열면 정상 강연 의뢰서가 표시되므로 의심하지 않는다. 그 사이 백그라운드에서 MSC 파일이 다운로드·실행된다.

사례 3 — 아르테미스 작전 (2025년 12월 지니언스 공개)

앞서 상세히 다룬 아르테미스 작전이 대표적이다^[1]. HWP와 DLL 사이드로딩의 결합, 정부·방산 표적, 장기 잠복 — 이 조합이 "한국 타겟 APT의 현재 수준"을 상징한다.

이 사례들을 분석하면 한 가지 결론이 반복된다 — 탐지 기반 방어로는 충분하지 않다.

• 시그니처 기반 AV: 알려진 악성 샘플만 탐지. Kimsuky·APT37은 변종을 지속적으로 생성 → 시그니처 등록 전 대량 유포
• 샌드박스: 가상환경 감지 + 시간차 실행 + 사용자 상호작용 조건 회피 기법에 취약. APT37의 DLL 사이드로딩은 샌드박스의 짧은 관찰 윈도우에서 특히 탐지 어려움
• EDR/EPP: 엔드포인트 실행 이후의 반응 중심. 반입 시점의 예방은 커버 대상 아님
• 이메일 스팸 필터: 송신자 평판·URL 블랙리스트 기반. 정교한 사회공학 미끼·신규 도메인엔 한계

공통의 한계는 "알려진 것을 찾는다"는 전제다. APT 그룹은 이 전제를 정확히 공략한다. 새 변종·새 기법·새 미끼를 만들어 시그니처·학습 데이터를 앞서간다.

CDR(Content Disarm and Reconstruction)은 근본적으로 다른 접근이다. "이것이 악성인가"를 묻지 않고 "이것이 실행 가능한 요소인가"만 본다. HWP 파일이 들어오면 무해화 엔진이 파일을 분해해 OLE · LNK · 포스트스크립트 · 매크로 · 외부 링크 자동 호출 로직 등 실행 가능한 요소를 유형 기준으로 제거한다. 제거 후 원본 가독성을 유지한 안전 버전으로 재조립해 전달한다.

시큐레터의 MARS 엔진 + SLCDR 조합에서는 이 구조가 더욱 강력해진다. MARS가 정적 리버스엔지니어링으로 위협 정보를 분석·기록하고(감사 증적 축적), SLCDR이 무해화를 수행한다. 공공기관·언론사·학계 환경에서 "어떤 HWP 파일이 어떤 위협을 포함했는지"의 장기 인텔리전스가 자동 축적되는 구조다.

조직의 노출도와 표적 가능성에 따라 방어 설계가 달라진다.

조직 유형	표적 우선도	권고 구성
최상 외교·안보·방산	Kimsuky + APT37 중첩 표적	SLE+DISARM(메일) + SLF(망연계) + SLCDR(웹·협업) + ConTI(위협인텔) 통합
최상 정부·공공기관	N2SF 대응 + APT 타깃	상동 + N2SF CDS 게이트웨이 통합 + 감사 증적 자동화
상 언론·미디어·싱크탱크	APT37 주요 표적	SLE+DISARM(메일) + 개인 단말 CDR 게이트 + 외부 전문가 교류 파일 통제
상 금융·대기업 CISO	공급망 + 스피어피싱 표적	SLE+DISARM + SLCDR(웹) + 공급망 파트너 수신 파일 무해화
중 학계·연구기관	논문 위장·학회 미끼	SLE+DISARM(메일) + 공동연구 파일 공유 게이트 CDR

2013년 Kimsuky가 처음 관찰된 이래 13년이 흘렀다. 그 사이 기법은 여러 번 진화했다 — 단순 매크로에서 OLE로, OLE에서 LNK로, LNK에서 MSC로, 그리고 DLL 사이드로딩으로. 하지만 구조적 원리는 거의 변하지 않았다. 사용자가 열 만한 문서로 위장 → 실행 가능한 콘텐츠 임베드 → 다단계 페이로드 → 장기 잠복과 유출.

방어도 마찬가지다. 탐지 기반으로 쫓아가는 한 매번 뒤처진다. 새 변종·새 기법이 시그니처보다 빠르게 나타나기 때문이다. 반면 CDR의 구조적 접근은 기법의 변화와 무관하게 작동한다. "실행 가능한 요소를 구조적으로 제거"한다는 원리 자체가 공격자의 혁신에 영향받지 않는다.

한국 조직이 HWP를 포기할 수 없고, 공격자가 HWP를 포기할 이유도 없다. 이 구조적 비대칭을 메우는 것이 CDR이다. 2026년 N2SF 시행과 망분리 완화로 HWP가 다닐 경로가 오히려 늘어나는 지금, 콘텐츠 수준 방어의 중요성은 더욱 분명해진다.