Vault 7: CIA가 기획한 국가급 사이버 작전 알아보기# Vault 7: CIA의 해킹 도구 유출이 보여준 국가급 사이버 작전의 실제 구조 ## 0. 들어가며: 단순한 해킹툴 목록이 아니라 “사이버 작전 공장”의 청사진이다 Vault 7을 처음 보면 대부분 이런 식으로 이해한다. “CIA가 스마트폰도 해킹하고, TV도 도청하고, 라우터도 장악했다며?” 틀린 말은 아니다. 하지만 이 설명은 너무 작다. 마치 항공모함을 보고 “큰 배네”라고 말하는 것과 비슷하다. Vault 7의 진짜 의미는 특정 해킹툴 몇 개가 아니라, 국가 정보기관이 사이버 작전을 어떻게 산업화했는지를 보여준다는 데 있다. Vault 7은 단순한 악성코드 모음이 아니다. 더 정확히 말하면 다음에 가깝다. **운영체제별 임플란트, 로더, 플러그인, C2 인프라, 난독화 프레임워크, 폐쇄망 침투 개념, IoT 장악 시나리오, 펌웨어 지속성, 분석 방해 기법, 내부 사용자 매뉴얼, 작전용 도구 설명서가 결합된 “국가급 사이버 작전 플랫폼의 일부”다.** 여기서 중요한 단어는 “플랫폼”이다. 현실의 고급 사이버 작전은 영화처럼 검은 화면에 명령어 몇 줄 치고 끝나는 일이 아니다. 오히려 소프트웨어 제품 개발과 닮았다. 기능이 있고, 버전이 있고, 문서가 있고, 운영자가 있고, 버그가 있고, 테스트가 있고, 배포 방식이 있고, 실패했을 때의 복구 절차가 있다. 즉 Vault 7은 “CIA가 뭘 해킹했나?”라는 질문보다 더 큰 질문을 던진다. 국가급 공격자는 어떻게 도구를 만들고, 어떻게 숨기고, 어떻게 오래 머물고, 어떻게 들키지 않고, 어떻게 여러 작전을 반복 가능한 형태로 운영하는가? 그리고 이 질문은 2026년 현재 더 무섭게 바뀐다. AI가 발전한 지금, 과거에는 국가기관 내부의 전문 개발팀과 작전팀이 필요했던 기능 중 일부가 점점 더 낮은 비용으로 자동화되고 있다. 물론 AI가 갑자기 일반인을 CIA급 공격자로 만들어준다는 말은 과장이다. 제로데이 발굴, 안정적인 익스플로잇 개발, 작전 보안, 장기 침투 운영은 여전히 어렵다. 하지만 코드 작성, 문서 이해, 정찰 자동화, 피싱 문안 생성, 로그 분석, 도구 사용법 학습, 취약점 보고서 해석 같은 주변 작업의 장벽은 이미 낮아지고 있다. 그래서 Vault 7은 과거 사건이 아니다. 미래의 예고편에 가깝다. --- ## 1. Vault 7이란 무엇인가 Vault 7은 2017년 WikiLeaks가 공개한 CIA 관련 사이버 작전 문서 및 도구 자료군을 가리킨다. 첫 공개는 2017년 3월 7일 “Year Zero”라는 이름으로 이루어졌다. 이후 Weeping Angel, Dark Matter, Marble Framework, Grasshopper, Hive, Athena, AfterMidnight, Assassin, Brutal Kangaroo, CherryBlossom, OutlawCountry, BothanSpy, Gyrfalcon, Highrise, Dumbo, ExpressLane, Angelfire 등 여러 이름의 프로젝트가 순차적으로 공개되었다. 공개 자료는 CIA 산하 Center for Cyber Intelligence, 즉 CCI와 관련된 것으로 알려졌다. CCI는 CIA의 사이버 작전 역량과 연결된 조직으로 언급되며, Vault 7 자료는 이 조직이 다양한 플랫폼을 대상으로 하는 공격 도구와 작전 지원 도구를 보유하고 있었음을 보여준다. 여기서 “다양한 플랫폼”이라는 말은 그냥 Windows와 Android 정도를 말하는 게 아니다. Vault 7 자료에 등장하는 대상 범위는 훨씬 넓다. Windows PC, macOS 시스템, Linux 서버, Android 기기, iOS 기기, Samsung 스마트 TV, 무선 라우터, 네트워크 장비, SSH 클라이언트, 파일 서버, 폐쇄망 환경, USB 같은 이동식 저장장치, 펌웨어와 부트 체인, 보안 카메라와 마이크 같은 물리 감시 장치까지 포함된다. 이쯤 되면 “컴퓨터 해킹”이라는 표현이 부족해진다. Vault 7이 보여주는 세계에서 공격 대상은 컴퓨터가 아니라 “전기가 들어가고, 코드가 실행되고, 센서가 달리고, 네트워크와 만나는 모든 것”이다. 스마트 TV는 TV가 아니라 거실에 놓인 Linux 계열 컴퓨터일 수 있다. 라우터는 단순한 인터넷 공유기가 아니라 집과 회사의 모든 패킷이 지나가는 검문소다. 스마트폰은 통신기기가 아니라 카메라, 마이크, 위치센서, 인증앱, 메신저, 이메일, 업무 계정이 들어 있는 개인용 첩보 플랫폼이다. 그리고 펌웨어는 운영체제 아래 숨어 있는 지하실이다. 사용자는 보통 그 지하실의 문이 어디 있는지도 모른다. Vault 7의 중요성은 여기서 나온다. 이 자료는 “해킹툴 몇 개”가 아니라, 현대 디지털 문명의 신뢰 계층이 얼마나 넓고 얇은지를 보여준다. --- ## 2. 유출 경로: 공격 도구를 가진 조직도 내부자에게 뚫릴 수 있다 Vault 7의 공개 이후 가장 큰 질문은 이것이었다. “이런 자료가 대체 어떻게 밖으로 나왔나?” WikiLeaks는 출처를 직접 공개하지 않았다. 이후 미국 수사기관은 전 CIA 소프트웨어 엔지니어 Joshua Adam Schulte를 핵심 유출자로 지목했다. Schulte는 CIA 내부에서 사이버 도구 개발과 관련된 시스템에 접근할 수 있었던 인물로 알려졌고, 미국 법무부 발표 및 법원 기록에 따르면 Vault 7 유출과 관련해 간첩법 위반 등 여러 혐의로 기소되었다. 그는 2022년 유죄 평결을 받았고, 이후 2024년 장기 징역형을 선고받은 것으로 알려져 있다. 발행 전에는 미국 법무부, Southern District of New York, United States v. Joshua Adam Schulte 사건 기록을 기준으로 날짜와 형량을 최종 확인해야 한다. 이 사건의 핵심은 단순히 “누가 유출했나”가 아니다. 진짜 핵심은 이것이다. 세계 최고 수준의 사이버 공격 도구를 가진 조직도 내부자 위협 앞에서는 취약할 수 있다. 이건 보안적으로 매우 불편한 진실이다. 외부 공격자는 방화벽, 인증, 망 분리, 접근제어를 뚫어야 한다. 하지만 내부자는 다르다. 내부자는 이미 문 안에 있다. 출입증도 있고, 업무 권한도 있고, 내부 용어도 알고, 어떤 저장소가 중요한지도 안다. 보안에서 내부자 위협이 무서운 이유는 기술력이 아니라 정상성 때문이다. 외부 공격자의 행동은 이상해 보일 수 있다. 하지만 내부자의 행동은 정상 업무처럼 보인다. 소스코드를 읽는 것도 정상, 빌드 서버에 접근하는 것도 정상, 내부 문서를 보는 것도 정상, 저장소를 동기화하는 것도 정상일 수 있다. 문제는 그 정상 행위가 어느 순간 비정상 목적을 갖게 된다는 점이다. Vault 7 유출은 CIA의 공격 기술만큼이나 CIA 내부 보안의 실패를 보여준다. 민감 도구 저장소에 대한 접근 권한이 어떻게 관리되었는가, 누가 어떤 자료를 복사했는가, 감사 로그는 충분했는가, 권한 분리는 작동했는가, 개발자 편의성과 기밀 보호 사이의 균형은 적절했는가. 이런 질문들이 따라온다. 흥미로운 역설은 이것이다. 사이버 무기를 만드는 조직은 외부를 뚫기 위해 엄청난 기술을 개발했지만, 정작 그 무기를 지키는 내부 보안은 실패했다. 이건 기업에도 그대로 적용된다. 아무리 좋은 EDR, 방화벽, SIEM, DLP를 도입해도, 핵심 저장소 접근 권한이 과도하고, 로그가 부실하고, 비밀값이 평문으로 방치되고, 개발자 계정이 관리되지 않으면 내부자 또는 계정 탈취 하나로 모든 것이 무너진다. Vault 7의 첫 번째 교훈은 공격 기술이 아니다. 권한 관리다. --- ## 3. 국가급 사이버 작전은 어떻게 생겼나 Vault 7을 프로젝트명별로 보기 전에 먼저 구조를 봐야 한다. 그렇지 않으면 Weeping Angel, Grasshopper, Hive, Marble 같은 이름들이 그냥 “해킹툴 도감”처럼 흩어진다. 국가급 사이버 작전은 대체로 다음과 같은 계층으로 나뉜다. 첫째, 접근 계층이다. 공격자가 목표 환경에 처음 닿는 단계다. 공개 취약점, 비공개 취약점, 피싱, 물리 접근, 공급망, 이동식 저장장치, 협력업체 장비, 관리 계정 탈취 등이 여기에 들어간다. 둘째, 실행 계층이다. 목표 시스템에서 공격자의 코드가 실행되는 단계다. 이때 중요한 것은 단순 실행이 아니라 대상 환경에 맞는 안정성이다. 공격 코드는 실패하면 들킨다. 국가급 작전에서는 “작동하는 코드”만큼 “조용히 실패하는 코드”도 중요하다. 셋째, 지속성 계층이다. 시스템이 재부팅되거나 사용자가 로그아웃해도 공격자가 다시 접근할 수 있도록 만드는 단계다. 운영체제의 시작 지점, 서비스, 드라이버, 예약 작업, 부트 체인, 펌웨어, 앱 자동 실행 구조 등이 관심 대상이 된다. 넷째, 은닉 계층이다. 보안 제품, 관리자, 포렌식 분석가에게 들키지 않기 위한 계층이다. 난독화, 문자열 암호화, 정상 프로세스 위장, 로그 최소화, 샌드박스 탐지, 분석 방해, 불필요한 파일 생성 회피 등이 포함된다. 단, 여기서는 실제 우회 절차나 구현 방식은 다루지 않는다. 다섯째, 수집 계층이다. 공격자가 원하는 데이터를 찾는 단계다. 문서, 키 입력, 스크린샷, 오디오, 비디오, 인증 자료, SSH 키, 브라우저 데이터, 클라우드 토큰, 내부 네트워크 정보 등이 대상이 될 수 있다. 여섯째, 명령제어 계층이다. 흔히 C2라고 부른다. 공격자가 임플란트에 명령을 보내고, 임플란트가 결과를 돌려보내는 통신 구조다. C2는 공격자의 심장이다. 심장이 뛰지 않으면 몸이 움직이지 않는다. 일곱째, 유출 계층이다. 수집한 데이터를 외부로 빼내는 단계다. 이때 공격자는 보통 정상 트래픽처럼 보이려 한다. 방어자는 바로 이 지점에서 네트워크 메타데이터, DNS, 프록시, TLS 특성, 접속 주기, 도메인 희귀도 같은 단서를 본다. Vault 7의 여러 프로젝트는 이 계층 중 하나 또는 여러 개에 걸쳐 있다. Weeping Angel은 IoT 감시 장치화의 관점에서 볼 수 있고, Dark Matter는 펌웨어와 부트 체인의 관점에서 볼 수 있다. Grasshopper는 Windows 대상 모듈형 임플란트 구성의 관점에서, Hive는 C2 인프라의 관점에서, Marble은 난독화와 분석 방해의 관점에서, Brutal Kangaroo는 폐쇄망 접근과 이동식 매체 위협 모델의 관점에서 볼 수 있다. 즉 Vault 7은 퍼즐 조각이다. 조각 하나하나보다 중요한 것은 이 조각들이 합쳐질 때 보이는 그림이다. 그 그림의 이름은 “작전 가능한 해킹 생태계”다. --- ## 4. 임플란트라는 개념: 악성코드는 총알이 아니라 현장 요원이다 Vault 7을 이해하려면 “임플란트”라는 개념을 알아야 한다. 일반적으로 악성코드라고 하면 많은 사람이 랜섬웨어처럼 파일을 암호화하거나, 바이러스처럼 퍼지는 코드를 떠올린다. 하지만 정보기관의 사이버 작전에서 임플란트는 조금 다르다. 임플란트는 대상 시스템 안에 심어지는 작전용 에이전트다. 단순히 피해를 주기 위한 코드가 아니라, 조용히 머물면서 명령을 받고, 정보를 수집하고, 환경을 관찰하고, 필요할 때 기능을 확장하는 존재다. 비유하자면 랜섬웨어는 강도에 가깝다. 들어오자마자 소리를 지르고 돈을 요구한다. 반면 임플란트는 잠입 요원에 가깝다. 들어왔다는 사실 자체를 숨긴다. 오래 머무는 것이 목표다. 눈에 띄는 행동은 피하고, 필요한 정보만 조용히 가져간다. 일반적인 고급 임플란트 구조는 개념적으로 다음과 같이 나뉜다. 로더는 본체를 실행시키는 역할을 한다. 대상 환경이 적절한지 확인하고, 필요한 구성 요소를 메모리나 디스크에서 불러온다. 페이로드는 실제 기능을 담당한다. 파일 수집, 환경 정보 확인, 명령 실행, 화면 캡처, 키 입력 수집, 네트워크 정보 확인 같은 기능이 여기에 해당할 수 있다. 구체적 구현 방식은 악용 가능성이 있으므로 다루지 않는다. 설정 파일은 작전별 행동을 결정한다. 어떤 서버와 통신할지, 얼마나 자주 신호를 보낼지, 어떤 기능을 켤지, 어떤 환경에서는 실행하지 않을지 같은 정보가 들어갈 수 있다. 플러그인은 기능 확장을 담당한다. 기본 임플란트는 작게 유지하고, 필요한 기능만 나중에 추가하는 방식이다. 이렇게 하면 탐지 위험을 줄이고 작전별 맞춤 구성이 가능하다. 통신 모듈은 C2와 연결된다. 공격자는 이 통신을 정상 트래픽처럼 보이게 만들려고 한다. 방어자는 반대로 정상 트래픽 속에서 비정상 패턴을 찾으려 한다. 은닉 모듈은 분석과 탐지를 어렵게 만든다. 문자열 난독화, 실행 환경 확인, 로그 최소화, 파일 흔적 최소화 같은 개념이 포함될 수 있다. 이 구조를 보면 국가급 해킹 도구가 왜 “제품”에 가까운지 이해할 수 있다. 일회용 스크립트가 아니라 운영 가능한 소프트웨어다. 누군가는 개발하고, 누군가는 테스트하고, 누군가는 문서를 쓰고, 누군가는 실제 작전에서 사용한다. Vault 7의 진짜 충격은 CIA가 악성코드를 만들었다는 사실이 아니다. 악성코드를 작전 가능한 소프트웨어 제품처럼 만들고 있었다는 점이다. --- ## 5. Year Zero: “암호화 메신저가 뚫렸다”는 말의 함정 Vault 7의 첫 공개인 Year Zero에서 대중이 가장 크게 반응한 부분 중 하나는 스마트폰과 암호화 메신저였다. 당시 일부 보도는 “CIA가 Signal, WhatsApp, Telegram을 해킹했다”는 식으로 전달되었다. 하지만 이 표현은 정확하지 않다. 핵심은 암호화 프로토콜을 수학적으로 깨뜨렸다는 뜻이 아니다. 종단간 암호화, 즉 E2EE는 통신 경로를 보호한다. 메시지가 내 휴대폰에서 상대방 휴대폰으로 가는 동안 중간 서버나 네트워크 감청자가 내용을 읽지 못하게 만드는 구조다. Signal 같은 메신저의 강점은 바로 여기에 있다. 그런데 문제가 있다. 공격자가 네트워크 중간에 있는 것이 아니라, 내 휴대폰 안에 들어와 있다면 이야기가 달라진다. 암호화는 편지가 우체국을 지나갈 때 봉투를 뜯지 못하게 만든다. 그런데 공격자가 우체국이 아니라 내 방 안에 앉아 있다면? 내가 편지를 쓰는 순간 옆에서 읽으면 된다. 상대가 보낸 편지를 내가 펼쳐 읽는 순간 같이 보면 된다. 즉 엔드포인트가 감염되면 암호화 전의 평문이나 복호화 후의 평문이 노출될 수 있다. 이것은 암호화 알고리즘의 실패가 아니라 엔드포인트 보안의 실패다. 이 구분은 매우 중요하다. “암호화 메신저가 뚫렸다”라고 말하면 독자는 암호화 자체가 무의미하다고 오해한다. 하지만 정확한 결론은 다르다. 암호화는 여전히 강력하다. 다만 암호화는 감염된 단말을 구해주지 못한다. 이건 오늘날에도 그대로 유효하다. 업무용 메신저, 클라우드 드라이브, 비밀번호 관리자, MFA 앱, 암호화 이메일을 사용해도 단말 자체가 장악되면 공격자는 훨씬 낮은 계층에서 정보를 볼 수 있다. 보안은 앱 하나의 기능이 아니라 기기, 운영체제, 권한, 업데이트, 사용자 습관, 물리 보안이 결합된 전체 시스템이다. Year Zero가 보여준 가장 신박하면서도 불편한 진실은 이것이다. 공격자는 자물쇠를 부수지 않아도 된다. 열쇠를 쓰는 사람 옆에 서 있으면 된다. --- ## 6. Weeping Angel: TV가 TV가 아닐 때 Weeping Angel은 Vault 7에서 가장 유명한 프로젝트 중 하나다. 공개 자료에 따르면 특정 Samsung 스마트 TV 모델을 대상으로 한 도구로 알려졌고, TV가 꺼진 것처럼 보이는 상태에서도 감시 기능을 수행할 수 있다는 설명 때문에 큰 논란이 되었다. WikiLeaks는 이를 “Fake-Off” 모드와 연결해 설명했다. 대중적으로는 “CIA가 TV로 도청했다”는 이야기로 소비되었지만, 기술적으로 더 중요한 주제는 IoT 신뢰 모델이다. 스마트 TV는 더 이상 TV가 아니다. 운영체제를 가진 컴퓨터다. 네트워크에 연결되고, 앱을 설치하고, 마이크를 사용할 수 있으며, 제조사 서버와 통신하고, 업데이트를 받고, 대기 모드에서도 일부 기능이 살아 있을 수 있다. 과거의 TV는 전원을 끄면 끝이었다. 현대의 스마트 TV는 “꺼졌다”는 사용자 인터페이스와 “실제로 전원이 완전히 차단되었다”는 하드웨어 상태가 다를 수 있다. 대기전력, 원격 제어, 빠른 부팅, 백그라운드 업데이트, 음성 명령 대기 같은 기능 때문이다. 여기서 보안 문제가 생긴다. 사용자는 화면이 꺼지면 장치가 죽었다고 느낀다. 하지만 공격자는 화면과 장치 상태를 분리해서 생각한다. 화면은 꺼져 있어도 마이크, 네트워크 스택, 일부 프로세스가 살아 있다면 그것은 여전히 작전 가능한 컴퓨터일 수 있다. 이 사례가 신박한 이유는 공격 대상의 재해석 때문이다. TV는 시청 장치가 아니다. 회의실에 놓인 마이크 달린 네트워크 컴퓨터다.\ 공유기는 인터넷 박스가 아니다. 모든 패킷이 지나가는 국경 검문소다.\ 프린터는 출력 장치가 아니다. 문서를 먹고 네트워크와 대화하는 임베디드 시스템이다.\ CCTV는 방어 장비가 아니다. 장악되면 공격자의 눈이 된다. Weeping Angel은 “스마트”라는 단어가 편리함과 동시에 공격면을 뜻한다는 점을 보여준다. 스마트해진다는 것은 코드를 실행한다는 뜻이고, 코드를 실행한다는 것은 취약점이 생길 수 있다는 뜻이다. 방어 관점에서 이 사례는 IoT 보안의 기본 원칙을 요구한다. 장치 목록을 관리하고, 네트워크를 분리하고, 마이크·카메라 권한을 통제하고, 펌웨어 업데이트 수명을 확인하고, 기본 설정을 바꾸고, 민감 공간에서는 물리적 차단까지 고려해야 한다. 가장 현실적인 보안 질문은 이것이다. “이 장치가 해킹되면 무엇을 보고, 무엇을 듣고, 어디로 보낼 수 있는가?” 이 질문에 답하지 못하는 장치는 이미 위험하다. --- ## 7. Dark Matter: 운영체제 아래의 지하실, 펌웨어 Dark Matter는 Apple Mac 및 관련 장치를 대상으로 한 CIA 프로젝트군으로 알려졌다. 공개 자료에는 Sonic Screwdriver, DarkSeaSkies 등 펌웨어 또는 부트 과정과 연결되는 도구명이 등장한다. 세부 구현과 실제 사용 범위는 발행 전 원문 검증이 필요하지만, 이 자료가 던지는 핵심 주제는 명확하다. 보안은 운영체제에서 시작하지 않는다. 운영체제가 시작되기 전에 이미 신뢰의 전쟁이 시작된다. 일반 사용자는 보안을 Windows, macOS, Linux 같은 운영체제 수준에서 생각한다. 백신을 설치하고, 업데이트를 하고, 앱 권한을 관리하면 된다고 본다. 하지만 컴퓨터가 켜지는 과정을 보면 그 아래에는 더 깊은 계층이 있다. 전원이 들어오면 펌웨어가 먼저 실행된다. 그다음 부트로더가 실행되고, 운영체제 커널이 올라오고, 드라이버와 서비스가 시작되고, 마지막으로 사용자 앱이 실행된다. 우리가 보는 데스크톱 화면은 이 긴 신뢰 사슬의 맨 끝이다. 이 신뢰 사슬의 아래쪽이 오염되면 위쪽 보안은 불리해진다. 운영체제 위에서 동작하는 보안 제품은 운영체제가 이미 정상적으로 올라왔다는 전제 위에 있다. 그런데 부트 과정이나 펌웨어 계층이 장악되면, 보안 제품은 공격자가 만들어놓은 무대 위에서 탐정 놀이를 하는 셈이 된다. 펌웨어 기반 위협이 무서운 이유는 세 가지다. 첫째, 눈에 잘 안 보인다. 일반 사용자는 펌웨어 파일을 직접 볼 일이 거의 없다. 보안 제품도 모든 펌웨어 영역을 충분히 검사하지 못할 수 있다. 둘째, 오래 살아남을 수 있다. 운영체제를 다시 설치해도 펌웨어 영역에 문제가 남아 있다면 감염이 유지될 수 있다. 사용자는 포맷했으니 깨끗하다고 생각하지만, 공격자는 지하실에 그대로 숨어 있을 수 있다. 셋째, 신뢰의 뿌리를 흔든다. Secure Boot, TPM, 코드 서명, 펌웨어 무결성 검사는 모두 “부팅 과정이 믿을 수 있어야 한다”는 문제의식에서 나온다. Dark Matter가 흥미로운 이유는 해킹의 무대가 사용자가 보는 화면보다 훨씬 아래에 있다는 점을 보여주기 때문이다. 보안은 바탕화면에서 시작하지 않는다. 전원 버튼을 누르는 순간 이미 시작된다. --- ## 8. Marble Framework: 사이버 공격의 필체를 지우는 기술 Marble Framework는 Vault 7에서 특히 논쟁적인 자료 중 하나다. 공개 설명에 따르면 Marble은 악성코드 내부 문자열 등을 난독화하고 분석을 어렵게 만들기 위한 프레임워크로 알려졌다. 일부 외국어 문자열 조각이 포함될 수 있다는 설명 때문에 “CIA가 다른 국가의 소행으로 위장하려 했다”는 해석도 나왔다. 여기서는 조심해야 한다. Marble을 “완벽한 false flag 도구”라고 단정하면 과장이다. 사이버 공격의 귀속은 코드 안의 언어 문자열 하나로 결정되지 않는다. 분석가는 악성코드 구조, 인프라, 피해 대상, 작전 시간대, 취약점 사용 방식, 코드 재사용, 컴파일 환경, C2 패턴, 과거 캠페인과의 유사성, 때로는 비기술 정보까지 종합한다. 하지만 Marble이 중요한 이유는 따로 있다. 공격자도 분석자를 분석한다는 점이다. 악성코드 분석가는 파일 안의 문자열, 함수명, 경로, 에러 메시지, 컴파일 흔적, 언어 흔적을 본다. 공격자는 이 사실을 알고 있다. 그래서 흔적을 지우거나, 흐리거나, 일부러 이상한 흔적을 남길 수 있다. 이건 범죄 현장과 비슷하다. 초보 범죄자는 지문을 남긴다. 숙련자는 지문을 닦는다. 더 교활한 공격자는 남의 지문처럼 보이는 것을 남기려고 한다. 물론 실제 수사는 지문 하나로 끝나지 않는다. 하지만 현장은 더 시끄러워진다. Marble은 바로 이 “분석 노이즈”의 문제를 보여준다. AI 시대에는 이 문제가 더 커질 수 있다. 생성형 AI는 특정 언어의 주석, 특정 개발자 스타일의 코드, 특정 국가권 개발자가 쓸 법한 변수명, 가짜 문서, 그럴듯한 오류 메시지를 쉽게 만들어낼 수 있다. 이것이 곧 완벽한 귀속 조작을 뜻하지는 않는다. 하지만 방어자가 걸러야 할 소음이 늘어난다는 것은 분명하다. 따라서 Marble의 교훈은 “귀속은 불가능하다”가 아니다. 정확한 교훈은 이것이다. 귀속은 단일 증거가 아니라 증거들의 합창이어야 한다. 문자열 하나가 노래를 틀리게 부를 수 있기 때문이다. --- ## 9. Grasshopper: 해킹 도구도 제품처럼 조립된다 Grasshopper는 Windows 환경을 대상으로 한 CIA의 모듈형 프레임워크로 공개되었다. 공개 자료에 따르면 Grasshopper는 작전자가 대상 환경에 맞춰 구성 요소를 선택하고 빌드할 수 있는 구조로 설명된다. 이 부분은 굉장히 중요하다. 많은 사람은 공격 도구를 하나의 파일로 상상한다. “악성코드.exe” 같은 식이다. 하지만 고급 공격자는 그렇게 단순하게 움직이지 않는다. 현실의 대상 환경은 모두 다르다. 어떤 조직은 백신이 강하고, 어떤 조직은 EDR이 있다. 어떤 곳은 Windows 버전이 오래되었고, 어떤 곳은 관리자 권한이 제한되어 있다. 어떤 곳은 인터넷 접속이 자유롭고, 어떤 곳은 프록시를 거쳐야 한다. 어떤 곳은 로그를 1년 보관하고, 어떤 곳은 일주일도 안 보관한다. 이런 상황에서 하나의 만능 악성코드는 비효율적이다. 대신 공격자는 레고처럼 조립 가능한 구조를 선호한다. 필요한 기능만 넣고, 필요 없는 기능은 뺀다. 대상 환경에 맞춰 통신 방식, 지속성 방식, 수집 기능, 실행 조건을 조정한다. 이것이 모듈형 임플란트 프레임워크의 의미다. 보안적으로는 매우 불편하다. 시그니처 기반 탐지는 같은 파일, 같은 문자열, 같은 해시가 반복될 때 강하다. 하지만 공격자가 작전마다 구성을 바꾸면 파일 해시는 달라지고, 문자열은 바뀌고, 기능 조합도 달라진다. 방어자는 “이 파일은 나쁜 파일인가?”라는 질문만으로는 부족하다. 대신 이런 질문을 해야 한다. 이 프로세스는 왜 이 시간에 실행되었는가?\ 이 사용자는 원래 이런 명령을 실행하는가?\ 이 프로그램이 네트워크 연결을 만드는 것이 정상인가?\ 이 시스템에서 새 서비스가 생긴 이유는 무엇인가?\ 이 도메인으로 주기적 접속이 발생하는 이유는 무엇인가?\ 이 파일은 왜 사용자 임시 폴더에서 실행되는가? 즉 방어는 정적 객체 중심에서 행위 중심으로 이동해야 한다. Grasshopper가 보여주는 신박한 지점은 이것이다. 고급 공격 도구는 더 이상 “한 방짜리 무기”가 아니라 “작전자가 조립하는 개발 플랫폼”에 가깝다. 그리고 이 플랫폼화는 AI 시대에 더 빨라질 수 있다. AI는 코드 작성, 설정 생성, 문서화, 테스트 케이스 작성, 로그 해석 같은 주변 작업의 비용을 낮춘다. 다시 말해 공격자는 더 적은 인력으로 더 많은 변형을 만들 수 있다. 방어자 입장에서는 악몽이다. 공격자는 레고를 조립하고, 방어자는 매번 다른 모양의 레고를 보고 같은 공격자인지 판단해야 한다. --- ## 10. Hive: C2는 공격자의 심장이다 Hive는 Vault 7에서 공개된 C2 인프라 관련 프로젝트로 알려졌다. C2는 Command and Control의 약자다. 쉽게 말해 감염된 시스템과 공격자가 대화하는 통신 구조다. 많은 사람이 악성코드 자체에만 집중하지만, 실제 작전에서 C2는 그만큼 중요하거나 더 중요하다. 임플란트가 대상 시스템 안에 들어가도, 공격자가 명령을 보낼 수 없고 결과를 받을 수 없다면 작전 가치는 제한된다. C2는 공격자의 심장이다. 임플란트는 손발이고, C2는 피를 보내는 장기다. 하지만 심장은 뛰기 때문에 들킬 수 있다. 네트워크 어딘가에 흔적을 남긴다. DNS 질의, TLS 연결, HTTP 요청, 인증서, 도메인 등록, 접속 주기, 패킷 크기, User-Agent, SNI, 프록시 로그 같은 메타데이터가 남는다. 공격자는 이 흔적을 정상처럼 보이게 만들려고 하고, 방어자는 정상 속의 비정상을 찾으려 한다. 고급 C2 인프라는 보통 단일 서버 하나로 끝나지 않는다. 중계 서버, 커버 도메인, 인증서, 암호화 통신, 접속 주기 조절, 인프라 분리 같은 개념이 등장한다. 여기서 세부 구축 방식은 악용 가능성이 있으므로 다루지 않는다. 중요한 것은 구조적 의미다. 공격자는 “나 여기 있어요”라고 외치지 않는다. 정상 웹 트래픽처럼 보이는 옷을 입는다. 그래서 방어자는 단순히 “HTTPS니까 안전하다”라고 보면 안 된다. 오늘날 악성 통신도 대부분 암호화된다. 암호화는 내용물을 숨기지만, 통신의 존재 자체를 없애지는 않는다. 그래서 네트워크 방어에서는 메타데이터가 중요하다. 희귀 도메인 접속, 새로 등록된 도메인, 업무와 무관한 외부 서버, 일정한 주기의 beaconing, 사용자 행위와 맞지 않는 시간대의 연결, 특정 호스트만 반복적으로 접근하는 목적지, 내부 서버의 불필요한 외부 통신 같은 것이 단서가 될 수 있다. Hive의 교훈은 명확하다. 악성코드는 파일에서만 찾는 것이 아니다. 네트워크의 리듬에서도 찾는다. --- ## 11. BothanSpy와 Gyrfalcon: 암호화는 강해도 키를 훔치면 끝이다 BothanSpy와 Gyrfalcon은 Vault 7 공개 자료에서 SSH 관련 도구로 알려졌다. 공개 설명에 따르면 BothanSpy는 Windows 환경의 SSH 클라이언트 관련 자격증명 수집과 연결되었고, Gyrfalcon은 Linux 환경의 OpenSSH 클라이언트 관련 자료로 알려졌다. 정확한 대상 클라이언트와 세부 기능은 발행 전 원문 확인이 필요하다. 이 사례는 사이버 보안의 아주 중요한 원칙을 보여준다. 공격자는 암호를 풀려고 하지 않는다. 열쇠를 훔치려 한다. SSH는 강력한 프로토콜이다. 제대로 설정된 SSH 자체를 암호학적으로 깨는 것은 현실적으로 어렵다. 하지만 사용자의 노트북이 감염되어 있다면 공격자는 전혀 다른 길을 택할 수 있다. 사용자가 어떤 서버에 접속하는지, 어떤 키를 쓰는지, 어떤 설정 파일을 갖고 있는지, 어떤 인증 흐름을 거치는지 같은 주변 정보를 노릴 수 있다. 이것은 암호화의 실패가 아니다. 키 관리의 실패다. 개발자와 시스템 관리자의 장비가 고가치 표적인 이유도 여기에 있다. 일반 직원의 노트북에는 문서와 메일이 있을 수 있다. 하지만 관리자 노트북에는 SSH 키, 클라우드 자격증명, Kubernetes 설정, 배포 토큰, 내부 Git 접근 권한, VPN 프로필, 운영 서버 접속 이력이 있을 수 있다. 한 명의 관리자 장비가 사실상 조직 내부망의 만능 리모컨이 될 수 있다. 따라서 방어는 단순히 “SSH를 쓰니까 안전하다”에서 끝나면 안 된다. 키에 패스프레이즈를 설정하고, 장기 키 사용을 줄이고, 서버별 키를 분리하고, 하드웨어 보안 키나 인증서 기반 접근을 고려하고, 접속 로그를 감사하고, 에이전트 포워딩을 조심하고, 퇴사자와 역할 변경자의 키를 즉시 회수해야 한다. BothanSpy와 Gyrfalcon이 보여주는 신박한 점은 공격자가 암호문을 공격하지 않아도 된다는 것이다. 금고가 튼튼하면 금고를 부수지 않는다. 금고 열쇠가 꽂힌 사람을 따라간다. --- ## 12. Brutal Kangaroo: 폐쇄망은 섬이지만, 배가 드나든다 Brutal Kangaroo는 Vault 7 공개 자료에서 폐쇄망 또는 분리망을 대상으로 하는 도구군으로 알려졌다. 공개 설명에 따르면 이동식 저장장치와 중간 감염 시스템을 이용해 인터넷과 직접 연결되지 않은 환경에 접근하는 개념이 포함되어 있었다. 폐쇄망은 매우 강력한 방어 전략이다. 인터넷과 물리적으로 분리하면 원격 공격 표면이 크게 줄어든다. 군사망, 원자력 시설, 산업제어시스템, 연구망, 중요 데이터 저장망에서 폐쇄망이 사용되는 이유다. 하지만 폐쇄망은 마법의 방패가 아니다. 폐쇄망은 섬이다. 그런데 섬에는 배가 드나든다. 그 배가 USB일 수 있다. 유지보수 노트북일 수 있다. 협력업체 장비일 수 있다. 업데이트 파일일 수 있다. 프린터일 수 있다. 내부 직원의 실수일 수 있다. 인터넷 케이블을 뽑았다고 해서 정보 흐름이 완전히 사라지는 것은 아니다. 사람이 자료를 옮기는 순간 경로가 생긴다. 장비를 반입하는 순간 접점이 생긴다. 업데이트를 적용하는 순간 외부와 내부의 연결이 만들어진다. Brutal Kangaroo의 핵심은 바로 이 지점이다. 공격자는 네트워크 선이 없으면 사람과 장치를 네트워크처럼 사용한다. 이 관점은 Stuxnet 사례와도 연결된다. Stuxnet 역시 폐쇄망 또는 제한된 네트워크 환경에서 이동식 매체와 내부 시스템을 통한 확산 가능성 때문에 많이 연구되었다. Vault 7의 Brutal Kangaroo는 이런 폐쇄망 위협 모델이 특정 사건의 예외가 아니라 국가급 공격자에게 반복적으로 중요한 관심사였음을 보여준다. 방어자는 폐쇄망을 설계할 때 단순히 “인터넷 차단”만 보면 안 된다. 이동식 매체 통제, 반입 파일 검사, 전용 전송 게이트웨이, 일방향 전송 장치, 유지보수 장비 관리, 협력업체 접근 통제, 실행 파일 화이트리스트, 내부 로그 수집, 물리 보안, 관리자 행위 감사가 함께 필요하다. 폐쇄망의 진짜 보안은 케이블이 아니라 절차에서 나온다. --- ## 13. CherryBlossom: 라우터가 배신하면 네트워크 전체가 흔들린다 CherryBlossom은 Vault 7 공개 자료에서 무선 라우터와 액세스 포인트 등 네트워크 장비를 대상으로 한 프로젝트로 알려졌다. 공개 설명에 따르면 특정 라우터 펌웨어를 조작하거나 감시·중계 지점으로 활용하는 개념이 포함되어 있었다. 라우터는 재미없는 장비처럼 보인다. 책상 밑이나 천장에 붙어 있고, 가끔 인터넷이 끊기면 전원을 껐다 켜는 물건 정도로 취급된다. 하지만 보안적으로 라우터는 엄청난 권력을 가진 장비다. 모든 패킷이 지나간다.\ 내부 장치 목록을 안다.\ DNS 요청을 본다.\ 사용자가 어떤 서비스에 접속하는지 안다.\ 트래픽을 다른 곳으로 보낼 수도 있다.\ 펌웨어가 취약하면 오래 숨어 있을 수도 있다. 즉 라우터는 네트워크의 문지기다. 문지기가 배신하면 집 안의 모든 사람이 위험해진다. 라우터와 네트워크 장비가 공격자에게 매력적인 이유는 명확하다. 항상 켜져 있고, 사용자가 잘 들여다보지 않으며, 보안 제품이 설치되어 있지 않고, 업데이트가 늦고, 로그 분석이 어렵다. 감염되어도 사용자는 “인터넷이 좀 느리네” 정도로만 느낄 수 있다. 이 문제는 국가급 공격에만 해당하지 않는다. 실제 범죄 조직도 라우터, VPN 장비, 방화벽, NAS, 보안 게이트웨이를 반복적으로 노린다. 이유는 간단하다. 엔드포인트보다 관리가 허술한데, 네트워크상 위치는 훨씬 중요하기 때문이다. CherryBlossom의 교훈은 네트워크 장비도 엔드포인트처럼 관리해야 한다는 것이다. 기본 비밀번호 제거, 펌웨어 업데이트, 관리자 인터페이스 외부 노출 금지, 관리망 분리, 설정 백업 무결성 검증, 장비 수명주기 관리, 취약 장비 교체가 필요하다. 보안에서 가장 위험한 장비는 눈에 잘 띄지 않는 장비다. --- ## 14. OutlawCountry: Linux 서버도 “안전한 성역”이 아니다 OutlawCountry는 Vault 7에서 Linux 시스템을 대상으로 한 도구로 공개되었다. 공개 설명에 따르면 Linux 커널 모듈 또는 netfilter 계층을 이용해 네트워크 트래픽을 조작하거나 리디렉션하는 기능과 연결되어 있었다. 많은 사람이 악성코드라고 하면 Windows를 떠올린다. 실제로 일반 사용자 대상 악성코드 생태계에서는 Windows 비중이 크다. 하지만 인프라 세계로 들어가면 이야기가 달라진다. 웹 서버, 데이터베이스, 클라우드 인스턴스, 컨테이너 호스트, Kubernetes 노드, CI/CD 서버, 빌드 서버, 라우팅 장비, 보안 장비의 내부 OS는 Linux 기반인 경우가 많다. 공격자 입장에서 Linux는 “사용자가 적은 운영체제”가 아니라 “서버와 인프라가 몰려 있는 고가치 운영체제”다. OutlawCountry가 흥미로운 이유는 공격 지점이 사용자 앱이 아니라 네트워크 처리 계층에 가깝다는 점이다. Linux의 netfilter는 패킷 필터링과 네트워크 주소 변환 등 네트워크 흐름에 관여하는 중요한 계층이다. 이 계층이 조작되면 트래픽의 흐름 자체가 바뀔 수 있다. 방어자 입장에서 이것은 어려운 문제다. 웹 서버 파일만 검사해서는 충분하지 않다. 커널 모듈 로딩, 네트워크 필터 규칙 변경, 비정상 라우팅, 프로세스와 소켓 관계, eBPF 프로그램, 시스템 콜 관찰, 파일 무결성, 패키지 무결성, 중앙 로그 수집까지 봐야 한다. Linux는 안전해서 공격받지 않는 것이 아니다. 중요해서 더 조용히 공격받는다. --- ## 15. Dumbo: 사이버 공격은 물리 세계의 카메라도 꺼버릴 수 있다 Dumbo는 Vault 7 공개 자료에서 카메라, 마이크, 감시 장치 또는 관련 프로세스를 식별하고 조작하는 도구로 설명되었다. 공개 자료의 세부 기능은 발행 전 원문 검증이 필요하다. 이 프로젝트가 흥미로운 이유는 사이버 작전과 물리 작전의 경계를 흐리기 때문이다. 우리는 보통 사이버 공격을 데이터 유출, 계정 탈취, 서버 침해처럼 생각한다. 하지만 현실의 정보 작전에서는 물리 공간도 중요하다. 회의실에 누가 있었는가, 카메라가 무엇을 녹화했는가, 마이크가 무엇을 들었는가, 출입 기록이 남았는가, 보안 장비가 작동했는가가 모두 중요할 수 있다. Dumbo류 도구가 보여주는 세계에서는 카메라가 방어 장비가 아니라 공격 대상이 된다. 공격자는 감시 장치를 피하는 것이 아니라 감시 장치 자체를 조작하려 할 수 있다. 이건 현대 조직에 큰 시사점을 준다. CCTV, 회의실 장비, 화상회의 시스템, 출입통제 장치, 녹음 시스템은 모두 네트워크에 연결된다. 즉 이 장비들은 물리 보안 장비이면서 동시에 IT 자산이다. 보안팀과 시설팀이 따로 놀면 위험하다. IT 보안팀은 서버와 노트북만 보고, 시설팀은 카메라 설치 위치만 보면 중간에 빈틈이 생긴다. 네트워크에 연결된 감시 장치는 패치, 접근 제어, 로그, 백업, 무결성 검증, 관리자 계정 관리가 필요하다. Dumbo의 교훈은 간단하다. 사이버 공격은 화면 안에서 끝나지 않는다. 현실 세계의 눈과 귀를 꺼버릴 수 있다. --- ## 16. Vault 7의 기술적 공통점: 국가급 공격자는 “오래, 조용히, 유연하게” 움직인다 Vault 7의 여러 프로젝트를 하나로 묶으면 몇 가지 공통된 설계 철학이 보인다. 첫째, 공격자는 엔드포인트를 노린다. 암호화된 통신을 중간에서 깨기보다, 사용자의 기기 자체를 장악하는 것이 더 현실적일 때가 많다. 둘째, 공격자는 모듈화를 선호한다. 모든 기능을 한 번에 넣기보다 작전별로 필요한 기능만 조합한다. 이는 탐지 위험을 줄이고 유지보수를 쉽게 한다. 셋째, 공격자는 지속성을 중시한다. 한 번 실행되고 끝나는 코드보다 재부팅 후에도 살아남고, 필요할 때 다시 명령을 받을 수 있는 구조가 중요하다. 넷째, 공격자는 인프라를 운영한다. C2 서버, 중계 구조, 도메인, 인증서, 통신 주기, 로그 관리까지 포함된다. 고급 사이버 작전은 악성코드 개발만이 아니라 인프라 운영이다. 다섯째, 공격자는 분석자를 속이려 한다. 난독화, 문자열 제거, 흔적 조작, 정상 트래픽 위장, 환경 확인 같은 개념이 등장한다. 여섯째, 공격자는 물리 세계를 무시하지 않는다. USB, 스마트 TV, 라우터, CCTV, 회의실 장비, 펌웨어, 폐쇄망은 모두 물리와 사이버가 만나는 지점이다. 결국 Vault 7이 보여주는 공격자의 철학은 이 문장으로 요약할 수 있다. 빨리 뚫는 것보다 오래 들키지 않는 것이 더 중요하다. --- ## 17. AI 시대의 연결: 과거의 국가급 워크플로가 자동화되기 시작한다 이제 Vault 7을 AI 시대와 연결해보자. 여기서 과장하면 안 된다. AI가 일반인을 즉시 CIA급 공격자로 만들어주는 것은 아니다. 국가급 작전에는 여전히 고급 취약점 연구, 제로데이 발굴, 타깃 정보 수집, 작전 인프라, 운영 보안, 장기 유지보수, 법적·조직적 자원, 실패 대응 능력이 필요하다. 하지만 AI가 낮추는 장벽은 분명히 있다. 첫째, 문서 이해 장벽이다. 과거에는 취약점 보고서, RFC, API 문서, 악성코드 분석 리포트, 운영체제 내부 구조 문서를 이해하는 데 많은 배경지식이 필요했다. AI는 긴 문서를 요약하고, 핵심 개념을 설명하고, 관련 기술을 연결한다. 둘째, 코드 작성 장벽이다. 보안 도구든 공격 도구든 파일 처리, 네트워크 통신, 로그 파싱, API 호출, 데이터 변환, 테스트 코드 작성 같은 일반 소프트웨어 작업이 필요하다. AI는 이 생산성을 크게 높인다. 셋째, 정찰 자동화 장벽이다. 공격자는 대상 조직의 도메인, 공개 문서, GitHub, 채용공고, 기술 블로그, 인증서, 클라우드 흔적, 이메일 형식 등을 수집해 기술 스택을 추정한다. AI는 이런 비정형 정보를 정리하는 데 강하다. 넷째, 사회공학 장벽이다. 피싱 메일, 사칭 메시지, 다국어 번역, 특정 조직 문화에 맞춘 문장 생성은 생성형 AI가 특히 잘하는 영역이다. 과거의 어색한 피싱 문장은 점점 줄어들 수 있다. 다섯째, 운영 보조 장벽이다. 도구 사용법을 설명하고, 오류 메시지를 해석하고, 로그를 요약하고, 다음 분석 방향을 제안하는 AI는 초보자의 시행착오 비용을 줄인다. 여기서 중요한 포인트는 “AI가 천재 해커를 만든다”가 아니다. AI는 평범한 공격자의 평균 생산성을 올린다. 이게 더 현실적인 위협이다. 사이버 보안에서 위험은 최상위 0.1% 공격자만 만드는 것이 아니다. 중하급 공격자의 수가 많아지고, 그들의 품질이 조금씩 올라가고, 자동화 속도가 빨라지는 것도 충분히 큰 문제다. Vault 7에서 보았던 모듈화, 문서화, 작전 도구화, 운영자 친화적 구조는 원래 국가기관의 자원과 조직력이 있어야 가능했다. 하지만 AI는 이런 작업의 일부를 더 작은 팀도 흉내 낼 수 있게 만든다. 미래의 공격자는 직접 모든 것을 이해하지 않아도 된다. AI에게 물어보고, 요약시키고, 초안을 만들고, 오류를 고치고, 보고서를 읽히고, 도구 사용 흐름을 정리시킬 수 있다. 완전한 국가급 작전은 아니더라도, “국가급 작전의 일부 워크플로”는 점점 대중화될 수 있다. --- ## 18. 결론: Vault 7은 오래된 유출이 아니라 보안의 미래를 보여주는 해부도다 Vault 7은 2017년에 공개된 사건이다. 하지만 그 의미는 지금 더 선명하다. 이 사건은 국가급 사이버 작전이 단순한 취약점 공격이 아니라는 것을 보여준다. 그 안에는 임플란트 아키텍처, 모듈형 도구, C2 인프라, 펌웨어 지속성, 엔드포인트 감염, IoT 장악, 폐쇄망 접근, 네트워크 장비 조작, 분석 방해, 내부자 위협이 모두 들어 있다. Vault 7이 말하는 보안의 현실은 냉정하다. 암호화는 중요하지만 감염된 단말을 구하지 못한다.\ 폐쇄망은 강력하지만 사람과 장비가 드나들면 우회될 수 있다.\ 라우터는 작지만 네트워크 전체를 볼 수 있다.\ 펌웨어는 보이지 않지만 신뢰의 뿌리다.\ 스마트 TV는 꺼진 화면 뒤에서도 컴퓨터일 수 있다.\ 공격 도구를 가진 조직도 내부자를 막지 못하면 무너질 수 있다. 그리고 AI 시대에는 이 모든 문제가 더 빨라진다. AI는 국가급 작전을 자동으로 복제하지는 못한다. 그러나 공격자의 학습 비용, 개발 비용, 문서 이해 비용, 자동화 비용, 사회공학 비용을 낮춘다. 방어자에게는 더 많은 공격, 더 다양한 변형, 더 그럴듯한 피싱, 더 빠른 정찰이 몰려올 수 있다. 그래서 Vault 7을 읽는 목적은 공포가 아니다. 방어 모델을 다시 설계하기 위해서다. 보안은 이제 단일 제품으로 해결되지 않는다. 엔드포인트, 네트워크, 펌웨어, 클라우드, 계정, 개발 파이프라인, IoT, 물리 보안, 내부자 위협, AI 방어 자동화까지 함께 봐야 한다. Vault 7은 해킹툴 유출 사건이 아니다. 현대 사이버 작전의 해부도다. 그리고 AI 시대의 우리는 그 해부도를 보면서 물어야 한다. “이 구조가 더 작고, 더 싸고, 더 빠른 형태로 복제된다면 우리는 무엇을 방어해야 하는가?” --- # 참고 자료 - - -