Stryker, 이란이 지운 손자국이 남은 핵티비스트 그룹

2026년 초, 사이버보안 연구자들 사이에서 "Stryker"라는 이름의 이란 연계 핵티비스트 그룹이 주목받고 있다. 이스라엘, 미국, 유럽 등 이란과 지정학적으로 대립하는 국가들의 주요 인프라와 기업을 대상으로 한 조직적 사이버 공격 캠페인을 수행하고 있으며, 단순한 해킹 집단을 넘어 국가 정보기관과의 협력 관계가 의심되는 고도화된 위협 행위자로 분류되고 있다. 국가와 민간 해킹 조직의 경계가 무너지는 현대 사이버전의 새로운 패턴을 Stryker는 선명하게 보여준다.

국가가 왜 핵티비스트를 필요로 하는가

핵티비즘(Hacktivism)은 전통적으로 이념적·정치적 동기를 가진 독립 해커 집단의 활동을 의미했다. Anonymous, LulzSec 같은 집단이 그 대표적인 예다. 그러나 2020년대 이후 등장한 새로운 형태의 핵티비스트 그룹들은 이 정의를 뒤흔들고 있다.

이란, 러시아, 북한 등 권위주의 국가들은 국가 기관이 직접 수행하기에는 외교적 부담이 큰 사이버 작전을 핵티비스트 집단에게 위탁하거나 지원하는 방식을 발전시켜왔다. 이 구조에서 핵티비스트 집단은 부인 가능성(Plausible Deniability)을 제공하는 완충재 역할을 한다. 공격이 발각되더라도 국가는 관여를 부인할 수 있고, 집단 구성원들은 애국적 동기로 활동한다는 명분을 얻는다.

Stryker는 이 패턴의 최신 사례로, 이란 혁명수비대(IRGC) 산하 사이버 부대와의 연결 고리가 복수의 위협 인텔리전스 업체에 의해 제기되고 있다.

Stryker는 어디에 자리 잡고 있나

이란의 사이버 위협 행위자 생태계는 여러 층위로 구성된다. 최상위에는 IRGC 및 정보부(MOIS) 직속의 APT 그룹들이 있다. APT33(Elfin), APT34(OilRig), APT35(Charming Kitten) 등이 대표적이며, 이들은 주로 스파이 활동과 장기 잠입 작전을 수행한다.

Stryker는 이 최상위 그룹들과는 다른 층위에 위치한다. 공개적으로 텔레그램 채널과 해킹 포럼에서 활동하며 공격 결과를 과시하는 등 핵티비스트적 행동 양식을 보이지만, 사용하는 도구와 인프라의 수준은 전형적인 스크립트 키디를 훨씬 넘어선다. Mandiant, CrowdStrike 등의 위협 인텔리전스 보고서는 Stryker의 TTP(Tactics, Techniques, and Procedures)가 이란 국가 사이버 작전과 높은 겹침을 보인다고 분석한다.

Stryker의 활동이 처음 문서화된 것은 2024년 말이다. 이스라엘-하마스 분쟁이 격화되는 시점과 활동 개시가 맞물리며, 지정학적 긴장이 사이버 공간으로 투영되는 패턴을 보였다.

2025년 1분기에는 이스라엘 수도 인프라 회사와 방산 협력업체를 대상으로 한 데이터 유출 작전을 수행했다. 2분기에는 미국 방위산업 하청업체 여러 곳을 동시에 공격하는 캠페인을 전개했으며, 일부 공격에서는 성공적으로 내부 문서를 탈취하여 텔레그램에 공개하는 방식으로 피해자를 압박했다. 2025년 하반기부터 2026년 초에 걸쳐서는 유럽의 에너지 기업들을 대상으로 활동 범위를 확대했다.

누가, 왜 타겟이 되는가

Stryker의 공격 대상은 이란의 지정학적 이해관계와 정확히 맞아떨어진다.

방위산업 및 군수: 이스라엘과 미국의 방위산업체, 방산 하청업체가 최우선 타겟이다. 무기 체계 설계 문서나 공급망 정보를 탈취하여 공개하는 방식으로 심리적 압박과 정보 수집을 동시에 추구한다.

에너지 인프라: 중동 내 이란과 대립하는 국가들의 석유·가스 인프라 운영 기업들이 주요 타겟이다. 이스라엘의 천연가스 인프라와 사우디아라비아 에너지 기업들이 반복적으로 공격받았다.

금융 기관: 이스라엘과 미국의 주요 은행 및 핀테크 기업에 대한 분산 서비스 거부(DDoS) 공격과 데이터 탈취 작전이 병행되었다.

정부 및 외교 기관: 이란 핵 협상 관련 정부 기관 및 외교 채널에 관여하는 싱크탱크, 연구기관도 공격 대상에 포함되었다.

타겟의 80% 이상이 이스라엘과 미국에 집중되어 있으며, 나머지는 UAE, 사우디아라비아, 독일, 영국 순으로 분포한다. 이 분포는 이란 외교정책의 주적 목록과 거의 일치하며, 특정 지정학적 사건(미국의 이란 제재 강화, 이스라엘-이란 직접 충돌 등) 이후 해당 국가에 대한 공격이 급증하는 패턴이 반복적으로 관찰된다.

침투에서 파괴까지, 킬체인 안쪽

Stryker의 초기 접근 방식은 기회주의적이면서도 정교하다.

공개 취약점 익스플로잇: CVE가 공개된 직후 빠르게 공격에 활용하는 능력을 보유한다. VPN 어플라이언스(특히 Fortinet, Ivanti), 이메일 서버(Exchange), 웹 애플리케이션 프레임워크의 N-day 취약점을 적극 활용한다. 패치 적용이 늦은 조직이 주요 피해자가 된다.

스피어피싱: 타겟 조직의 직원에게 맞춤화된 피싱 이메일을 발송한다. 이란의 기존 APT 그룹들이 구축한 피싱 인프라와 프로필 정보를 공유하는 것으로 추정된다. 특히 LinkedIn 프로필을 활용한 소셜 엔지니어링이 특징적이다.

공급망 침투: 대형 타겟 기업의 협력업체나 SaaS 도구를 통한 우회 침투도 관찰된다. 보안이 상대적으로 취약한 중소 협력업체를 발판으로 최종 타겟에 접근하는 방식이다.

초기 침투 후 Stryker는 신속하게 내부 환경을 장악한다. Active Directory 정찰을 위해 BloodHound와 SharpHound를 사용하고, 자격증명 덤핑에는 Mimikatz 변형을 사용한다. C2(Command and Control) 통신에는 클라우드 서비스(주로 OneDrive, Google Drive)를 활용하는 Living-off-the-Land 기법을 즐겨 사용하여 정상 트래픽에 숨어든다. 이란계 APT 그룹들 사이에서 공유되는 것으로 알려진 커스텀 백도어 'TEMPEST'의 변형도 발견되었다.

Stryker를 단순한 스파이 집단과 구분 짓는 특징은 파괴적 페이로드와 심리전의 결합이다. 데이터 탈취 후 텔레그램과 Tor 기반 다크웹 사이트에 문서를 공개하여 피해 기업에 압박을 가하는 "이중 강탈" 전술을 사용한다. 일부 캠페인에서는 와이퍼(Wiper) 악성코드를 배포하여 데이터를 영구 삭제함으로써 순수한 파괴 목적을 추구했다. DDoS 공격을 데이터 탈취 작전과 동시에 수행하여 방어팀의 주의를 분산시키는 복합 전술도 사용한다.

⤢✕

분업 구조 속 Stryker의 자리

이란의 국가 연계 사이버 위협 그룹들은 느슨하지만 체계적인 생태계를 형성한다. IRGC 산하 APT33, APT34, APT35가 고급 스파이 작전을 담당하고, MOIS 연계 그룹들이 반체제 인사와 외국 정부 대상 감시를 수행한다면, Stryker와 같은 핵티비스트 그룹은 공격적이고 가시적인 "소음 작전"을 담당한다.

이 분업 구조에서 핵티비스트 그룹의 역할은 명확하다. 고급 APT 그룹이 조용히 장기 잠입 작전을 수행하는 동안, 핵티비스트 그룹은 DDoS, 웹 변조, 데이터 유출 공개 등 눈에 띄는 공격으로 지정학적 메시지를 전달하고 상대국에 심리적 압박을 가한다. 국가는 이들 활동을 공식적으로 지원하지 않는다고 부인할 수 있다.

Stryker가 사용하는 일부 인프라와 악성코드가 이란 국가 APT 그룹들의 인프라와 겹친다는 분석이 있다. 이는 완전히 독립적인 집단이 아니라 국가 사이버 자산을 공유하거나 지원받는 관계임을 시사한다.

귀속이라는 어려운 질문

Stryker 사례가 보안 커뮤니티에 제기하는 본질적인 질문은 귀속(Attribution)의 어려움이다. 전통적인 APT 귀속 분석은 TTP의 일관성, 인프라 재사용, 악성코드 코드베이스 겹침 등을 기반으로 한다. 그러나 핵티비스트 집단이 국가 자원을 일부 공유하면서 독립적으로 운영되는 구조에서는 이 분석이 불완전해진다.

더 근본적인 문제는 법적·외교적 대응이다. 명확한 국가 귀속이 어려우면 제재, 기소, 외교적 항의 등의 대응 수단 적용이 제한된다. 이는 이란을 비롯한 국가들이 핵티비스트 프록시를 선호하는 구조적 인센티브가 된다. 2022년 러시아의 우크라이나 침공 이후 Killnet 등 친러 핵티비스트 그룹이 수십 개 등장한 것도 같은 맥락이다.

방어자가 지금 손댈 수 있는 것

Stryker의 공격 패턴을 고려할 때, 방어 조직이 우선순위를 두어야 할 영역이 있다.

패치 관리 가속화: Stryker의 주요 초기 침투 벡터가 N-day 취약점이라는 점에서, CVE 공개 후 72시간 이내 패치 적용 정책이 핵심이다. 특히 인터넷에 노출된 VPN 어플라이언스, 이메일 게이트웨이, 웹 애플리케이션은 최우선 패치 대상이다.

공급망 보안 강화: 협력업체와의 네트워크 연결을 제로 트러스트 원칙에 따라 최소 권한으로 제한하고, 협력업체의 보안 수준을 정기적으로 평가해야 한다.

클라우드 서비스 기반 C2 탐지: 정상적인 OneDrive, Google Drive 트래픽과 C2 통신을 구분하기 위한 행동 기반 분석(UBA)과 DNS 질의 패턴 모니터링이 효과적이다.

위협 인텔리전스 구독: CISA, MITRE ATT&CK, 상용 위협 인텔리전스 피드에서 제공하는 Stryker IoC(Indicators of Compromise)를 방화벽, SIEM에 실시간으로 적용한다.

Stryker는 현대 국가 연계 사이버 위협의 진화를 잘 보여주는 사례다. 이념적 명분과 국가 이익의 결합, 첨단 도구와 부인 가능한 구조의 조합은 전통적인 사이버 위협 분류 체계에 도전한다. 이란이 구축한 핵티비스트 프록시 모델은 이미 러시아, 중국, 북한 등 다른 국가들에게도 채택되거나 연구되고 있다. 기술적 방어만으로는 이 위협에 완전히 대응할 수 없다. 국제적인 사이버 공간 규범 수립, 귀속 분석 기술의 발전, 민관 위협 인텔리전스 공유 강화가 함께 이루어져야 한다. Stryker가 오늘 공격하는 방식은 내일 더 많은 국가 연계 핵티비스트 집단이 사용할 표준 플레이북이 될 수 있다.