APT29 같은 위협 그룹이 별칭을 여러 개 달고 있는 이유는 보안 업체마다 보유한 텔레메트리와 클러스터링 기준이 다르기 때문입니다. 이 이름들이 가리키는 것도 완전히 동일한 대상이라기보다 활동 영역이 서로 ‘겹치는’ 침입 집합(intrusion set)입니다.
APT29 별칭 총정리: MITRE ATT&CK G0016이 묶은 이름들
보안 실무자와 연구원이 가장 혼란을 느끼는 지점은 같은 공격 그룹을 부르는 명칭이 분석 기관마다 다르다는 점입니다. MITRE ATT&CK은 이런 혼선을 줄이려고 APT29의 여러 별칭을 ‘Group G0016’이라는 하나의 그룹 ID로 묶어 관리합니다.
MITRE ATT&CK 기준 G0016에 포함된 Associated Groups는 모두 15개입니다.
- 전통적 명칭: APT29, Cozy Bear, CozyDuke, The Dukes
- 특정 캠페인 및 벤더 명칭: NOBELIUM, Midnight Blizzard, SolarStorm, Dark Halo, UNC2452, UNC3524
- 기타 별칭: IRON RITUAL, IRON HEMLOCK, NobleBaron, YTTRIUM, Blue Kitsune
이 그룹은 러시아 대외정보국(SVR)에 귀속된 것으로 분석됩니다. 최소 2008년부터 활동을 시작해 유럽과 NATO 회원국 정부망, 연구기관, 싱크탱크 등을 주요 표적으로 삼아왔습니다.
Midnight Blizzard는 누가 지은 이름인가: Microsoft의 명명 체계
Microsoft는 위협 행위자 명명에 ‘날씨 기반 분류(weather-based naming taxonomy)’라는 자체 체계를 씁니다. 이 체계에서 국가 주도 행위자에는 출처 국가나 지역에 기반한 ‘가문 이름(family name)’이 할당됩니다. 러시아 국가 주도 행위자 계열에는 ‘Blizzard’라는 이름이 붙었고, 그중 TTP(전술, 기술, 절차), 인프라, 목적과 패턴이 구별되는 그룹에 형용사를 덧붙여 ‘Midnight Blizzard’라는 정식 명칭을 만들었습니다.
Microsoft는 Midnight Blizzard의 다른 이름(Other names)으로 NOBELIUM, COZY BEAR, UNC2452, APT29를 공식 표기하고 있습니다.
SolarWinds 사건이 만든 별칭들의 파편화
특정 대규모 침해 사고는 행위자 하나를 두고 수많은 별칭이 생겨나는 계기가 됩니다. 대표적인 사례가 2021년 4월 미국과 영국 정부가 SolarWinds 침해 사건을 SVR에 귀속시킨 건입니다. 당시 공식 성명에는 APT29, Cozy Bear, The Dukes라는 명칭이 인용되었습니다.
업계의 각 보안 보고서 역시 같은 행위자를 서로 다른 이름으로 정의했습니다.
| 별칭 | 최초 보고 및 관련 기관 |
|---|---|
| NOBELIUM, Midnight Blizzard | Microsoft |
| UNC2452 | FireEye / Mandiant |
| Dark Halo | Volexity |
| The Dukes | F-Secure, ESET, NCSC |
왜 같은 그룹에 이름이 여러 개인가: 텔레메트리와 명명 규칙의 차이
이처럼 하나의 그룹이 다수의 이름을 갖는 이유는 분석 주체마다 쓰는 데이터의 원천(Telemetry)과 활동을 묶는 기준(Clustering)이 다르기 때문입니다.
- 데이터 가시성의 차이: 각 보안 벤더는 저마다 보유한 엔드포인트, 네트워크, 클라우드 로그 등 서로 다른 텔레메트리를 기반으로 활동을 추적합니다.
- 클러스터링 기준의 차이: 특정 툴 사용 여부, C2 서버 인프라 패턴, 공격 대상의 특성 등 어떤 요소를 ‘동일 그룹’의 기준으로 삼느냐에 따라 경계가 달라집니다.
- 명명 체계의 정체성: Microsoft처럼 체계적인 날씨 기반 명칭을 쓰는 곳이 있는가 하면, 분석 코드(UNC-####)를 먼저 부여한 뒤 나중에 이름을 붙이는 곳도 있습니다.
출처가 서로 다른 채 같은 활동을 추적하다 보면 표지의 경계가 완전히 일치하지 않는 현상이 벌어집니다.
‘동일’이 아니라 ‘겹침’: 침입 집합(Intrusion Set)의 관점
보안 실무자가 주의할 점이 있습니다. APT29라는 명칭이 지칭하는 대상은 개별 ‘조직’이라기보다 반복적으로 관측되는 활동 클러스터인 ‘침입 집합(intrusion set)’ 또는 ‘활동 그룹(activity group)’입니다.
분석 관점에서 보면 여러 별칭은 완전히 동일한 대상(Identical)을 가리키는 게 아니라 활동 범위가 상당 부분 ‘겹침(Overlap)’을 뜻합니다. 이런 경계 조건을 충분히 검토하지 않은 채 별칭이라는 이유만으로 다른 표지로 재귀속(Re-attribution)하면 사실과 다른 귀속 오류를 범할 위험이 있습니다.
Storm-####에서 정식 명칭으로: 위협 그룹 이름의 진화 과정
위협 그룹의 이름은 고정되어 있지 않습니다. 관측 데이터가 쌓이면서 갱신되고 병합되는 과정을 거치는데, Microsoft 사례가 이 과정을 잘 보여줍니다.
- 임시 명칭 부여: 정체가 아직 미확인이거나 새로 등장한 활동 클러스터에는 ‘Storm-####’이라는 임시 명칭을 붙여 ‘개발 중인 그룹(Groups in development)’으로 관리합니다.
- 정식 명칭 전환: 활동 근거가 충분히 모여 기준을 충족하면 정식 명칭을 가진 행위자로 전환합니다.
- 그룹 병합(Merge): 분석 결과 이미 알려진 그룹과 동일한 것으로 판단되면 기존 이름으로 병합합니다.
APT29와 Midnight Blizzard, NOBELIUM 등 다양한 이름은 위협 행위자를 식별하고 추적하는 과정에서 생겨난 분석의 파편화이자, 데이터가 축적되며 정교해지는 귀속 분석의 과정이기도 합니다.