미국 정부, CrowdStrike의 지원으로 FAMOUS CHOLLIMA의 활동 차단 블로그 읽기

미국 정부, CrowdStrike의 지원으로 FAMOUS CHOLLIMA의 활동 차단

2026년 10월 13일 • CrowdStrike Counter Adversary Operations • 위협 헌팅 및 인텔리전스

2026년 9월 말, CrowdStrike의 Counter Adversary Operations 팀은 미국 연방수사국(FBI)과 협력해 미국 전역에서 운영되던 여러 노트북 팜을 차단했습니다. 북한 연계 공격 그룹인 FAMOUS CHOLLIMA가 운영하던 이 노트북 팜은 실제 위치와 신원을 숨긴 채 미국 기업에 요원을 부정하게 취업시키는 데 사용됐습니다.

이러한 노트북 팜을 통해 FAMOUS CHOLLIMA 요원들은 정상적인 원격 근무자인 것처럼 위장하고, 피해 조직에 지속적으로 접근하면서 부당하게 취득한 급여를 북한 정권으로 빼돌릴 수 있었습니다. CrowdStrike는 FBI와 협력하면서 공격자와 그들의 활동에 대한 위협 인텔리전스와 기술 분석을 제공했고, 이는 이러한 차단 조치를 가능하게 했습니다.

이번 작전은 FAMOUS CHOLLIMA의 미국 내 인프라를 해체하기 위한 미국 법 집행 기관의 보다 광범위한 대응의 시작입니다. CrowdStrike의 Counter Adversary Operations 팀은 이러한 노력에서 계속해서 핵심적인 역할을 수행할 계획입니다.

FAMOUS CHOLLIMA의 노트북 팜 의존

FAMOUS CHOLLIMA 요원들은 취업 사기를 벌이기 위해 먼저 고용주가 지급한 노트북에 접근할 방법을 찾아야 합니다. 공격자들은 허위 또는 도용된 신원으로 취업하기 때문에 이러한 노트북을 자신의 작전 거점으로 배송시키기가 쉽지 않습니다. 

대신 FAMOUS CHOLLIMA 요원들은 입사 절차에서 다양한 기만 수법을 사용해 고용주가 제공한 하드웨어가 노트북 팜 주소로 배송되도록 유도합니다. CrowdStrike OverWatch는 요원들이 노트북을 도난당했다는 허위 경찰 신고를 접수해 교체 노트북이 노트북 팜 주소로 배송되도록 유도하고, 최종 목적지를 숨기기 위해 여러 주거지 주소를 번갈아 사용하는 사례를 관찰했습니다. 또 다른 요원들은 배송 중인 기기의 배송지를 변경하기 위해 막판에 이사했다고 주장했습니다. 일부 사례에서는 요원들이 IT 인력 파견 업체를 통해 일자리를 구한 뒤, 해당 업체도 모르는 사이 최종 고객이 제공한 기기가 노트북 팜 인프라로 은밀히 전송되도록 했습니다.

노트북이 팜에 도착하면, 현지 조력자가 원격 액세스를 가능하게 하기 위해 해당 노트북에 하드웨어와 소프트웨어를 함께 설치합니다. CrowdStrike OverWatch는 FAMOUS CHOLLIMA가 이러한 RMM 도구의 사용을 숨기려고 시도하는 것을 포착했습니다. 이는 해당 활동에 대한 공개 보도 이후 작전 보안을 강화했기 때문으로 보입니다. 

2026년 5월부터 FAMOUS CHOLLIMA는 기기 해시를 위조하기 시작했습니다. 예를 들어 비디오 캡처 카드를 웹캠처럼 위장하는 식입니다. 최근 CrowdStrike OverWatch는 FAMOUS CHOLLIMA가 여러 피해 조직에서 동일한 위장 기기를 사용하는 것을 관찰했는데, 이는 공격자들이 탐지를 피하기 위해 의도적으로 기기 식별자를 재사용하고 있음을 시사합니다. 이는 공격자들이 방어자들이 추적하는 지표를 명확히 인지하고 있음을 보여줍니다. 노트북 팜 내 네트워크 인프라에서 여러 개의 가짜 계정이 동시에 식별자를 공유하는 것이 발견되었는데, 이는 작전의 규모와 조직력을 나타내는 지표입니다.

노트북 팜은 FAMOUS CHOLLIMA의 수익 창출 활동에 필수적인 요소입니다. 이는 공격자가 해외에서 쉽게 해결하기 어려운 세 가지 문제, 즉 물리적·재정적·법적 문제를 해소해주기 때문입니다.

미국 내 거점이 없다면 FAMOUS CHOLLIMA 요원들은 고용주가 제공하는 하드웨어를 수령하고 설정하거나, 위치 정보를 기반으로 한 사기 방지 장치를 우회하거나, 정상적인 취업을 위한 관문 역할을 하는 신원 확인 시스템을 통과하기 어려울 것입니다. 노트북 팜과 이를 운영하는 조력자들은 임대한 미국 내 거점 역할을 합니다. 여기에는 실제 주소와 법적 신원, 그리고 금융 기관의 실사 요건에 포함되는 '고객 확인' 규정을 충족하기 위한 수단이 포함됩니다. 

노트북 팜 하나를 차단하는 것만으로는 FAMOUS CHOLLIMA에 미치는 영향이 제한적일 가능성이 높고, 그 영향도 주로 해당 노트북 팜이 차단된 지역에 국한되겠지만, 이러한 작전은 법 집행 기관과 CrowdStrike가 공격자의 인프라를 파악하고 있으며 그 움직임을 적극적으로 추적하고 있다는 분명한 신호를 보냅니다.

FAMOUS CHOLLIMA의 노트북 팜 인프라 식별에서 CrowdStrike Counter Adversary Operations의 역할

2025년 4월부터 2026년 6월까지 CrowdStrike의 Counter Adversary Operations 팀은 공격자가 사기성 취업 활동을 수행하는 데 사용한 페르소나, 기술적 지표 및 미국 내 컴퓨터를 식별했습니다. CrowdStrike Counter Adversary Operations가 수행한 표적 작전에서 얻은 인사이트를 텔레메트리 기반 관찰 결과와 결합해, 팀은 주요 페르소나를 파악하고 이러한 활동을 지원하는 미국 내 조력자 네트워크를 밝혀낼 수 있었습니다.

CrowdStrike의 Counter Adversary Operations 팀은 FAMOUS CHOLLIMA의 침투 시도로부터 고객 네트워크를 보호하기 위해 지속적으로 모니터링하는 한편, 여러 방향에서 공격자에 대응할 수 있도록 관련 정보를 법 집행 기관에 전달하고 있습니다. 

이번 작전으로 차단된 여러 클러스터에서 확인된 수십 개의 피해 조직은 항공우주, 에너지, 금융 서비스, 의료, 사이버 보안, 방위 엔지니어링, 정부 기술, 소비자 기술 등 주요 산업 분야에 걸쳐 있습니다. 이처럼 다양한 산업을 대상으로 한다는 사실은 FAMOUS CHOLLIMA가 특정 산업에 국한되지 않고 공격하는 경향을 보여줍니다. 원격 근무를 제공하는 조직이라면 어디든 수익을 창출할 기회가 될 수 있기 때문입니다.

결론

FAMOUS CHOLLIMA의 미국 내 활동은 여전히 ​​지속되고 있습니다. 이번 차단 조치는 노트북 팜이 폐쇄된 특정 지역에서만 FAMOUS CHOLLIMA의 활동을 일시적으로 둔화시킬 뿐, 장기적인 영향을 미칠 가능성은 낮습니다. 공격자들은 수사 기관의 추적과 방해를 피하기 위해 자신들의 수법을 끊임없이 발전시켜 나갈 것이 분명합니다.

수사 기관의 이번 조치는 FAMOUS CHOLLIMA를 향해 분명한 메시지를 전달합니다. 즉, 그들의 인프라는 노출되어 있고, 그들의 움직임은 추적되고 있으며, 활동에 따르는 비용은 점점 커지고 있다는 것입니다.

단순히 그들의 실체를 파악하는 것만으로는 충분하지 않습니다. 이번과 같은 방해 작전은 공격자에게 가해지는 비용을 높이는 데 핵심적인 역할을 합니다. 이러한 작전은 공격자들이 인프라를 재구축하고, 거점을 이전하며, 자원을 다시 투입하도록 강제합니다. 만약 그렇지 않았다면 해당 자원은 정권의 우선순위 과업을 수행하는 데 사용되었을 것입니다. 노트북 팜이 하나씩 폐쇄될 때마다 FAMOUS CHOLLIMA는 되돌릴 수 없는 시간과 비용을 잃게 됩니다.

이를 위해 CrowdStrike의 Counter Adversary Operations 팀은 수사 기관과의 긴밀한 협력을 지속해 나갈 것입니다. FAMOUS CHOLLIMA는 끈질기고 상황에 맞춰 빠르게 변화하는 공격자임이 입증되었습니다. 하지만 끈질김은 양날의 검과 같습니다. CrowdStrike의 Counter Adversary Operations 팀은 앞으로도 공격자의 수법 변화를 계속 추적하고, 인프라를 찾아내며, 모든 침입 시도와 부정 채용, 그리고 급여 탈취 행위가 반드시 실질적인 대가로 이어지도록 할 것입니다.

권장 사항

알려진 FAMOUS CHOLLIMA 페르소나와 지표 목록을 유지하는 것도 유용하지만, 이러한 정보는 쉽게 변할 수 있습니다. 채용 후보자의 신원을 확인할 때는 표준적인 신원 조회를 실시하고 다음과 같은 지표를 살펴보세요.

  • 여러 온라인 프로필에서 전화번호, 이메일 주소, 은행 계좌 또는 이력서나 웹사이트의 문구와 같은 콘텐츠가 반복해서 사용되는 경우
  • Astrill VPN, AnyDesk, OBS Studio 또는 PiKVM과 같은 원격 컴퓨팅 애플리케이션을 사용하는 경우
  • 영상 속 모습과 신분증 사진이 일치하지 않는 경우
  • 신고된 위치와 시간대가 맞지 않는 여러 위치에서 로그인하는 경우
  • 거주지 주소와 배송 주소가 일치하지 않는 경우
  • 다른 FAMOUS CHOLLIMA 페르소나를 취업 추천인으로 활용하는 경우
  • GitHub 팔로워나 LinkedIn 연결 관계를 비롯해 FAMOUS CHOLLIMA 페르소나와 온라인상에서 연결되어 있는 경우
  • 계좌 보유자가 여러 개의 가상 계좌 번호를 만들고 자금을 쉽게 암호화폐로 전환할 수 있도록 허용하는 은행의 계좌를 사용하는 경우
  • LinkedIn, Twitter, GitHub 또는 프리랜서 플랫폼에 새로 만든 공개 프로필

추가 리소스