0xNews - 토리스마 라는 스파이웨어를 사용하는 북한 해커 집단 정보 공개

McAfee 연구팀 발표

호주, 이스라엘, 러시아, 인도에 기반을 둔 ISP Internet Service Providers 와 국방 관련 계약 업체 등을 대상으로 하는 IP 주소를 대상으로 삼는 공격

토리스마 Torisma 라는 스파이웨어 도구를 사용

피해자의 지속적인 사용을 모니터링

Operation North Star 코드명 지정

올해 7월 이 공격 캠페인을 발견

소셜 미디어 사이트, 스피어 피싱, 허위 구인 광고가 포함된 가짜 문서 배포 등을 통해 국방 분야에서 일하는 조직의 직원을 대상

조직 내 네트워크 침투 발판으로 함

이 공격은 이전에 발표된 여러 북한 해커 그룹들과 비슷한 인프라와 TTPs Techniques, Tactics, and Procedures 에 기인

이는 미국 정부가 모든 북한 국가 지원 해킹 그룹을 설명하기 위해 사용하는 포괄적 용어

이번 스파이웨어는 미국의 국방, 항공 우주 계약자에 대한 악의적인 공격을 가해 핵무기 프로그램을 지원하고 자금을 조달하기 위해 위협 행위자들의 무기를 활용하는 강력한 제재 국가인 북한의 추세를 이어가고 있는 증거 중 하나

초기 분석에서는 임플란트가 그 가치를 평가하기 위해 기본적인 피해자 정보를 수집하도록 의도된 것으로 분석

Operation North Star 에 대한 최근 조사에서는 손상된 시스템에 숨겨져 있도록 설계된 기술 혁신의 정도를 보여줌

이 캠페인으로 유명한 미국 방위 계약업체 웹 사이트의 정상적인 채용 컨텐츠를 유용하여 표적 피해자를 유인

악성 스피어 피싱 이메일 첨부 파일을 상대로 하여금 열게 함

이를 통해 미국과 이탈리아의 정상 웹 사이트 손상 시키는데 성공

또한 일부 IT 교육회사는 C&C command-and-control 기능을 호스팅

McAfee 보안연구팀 추가 리뷰

이런 정상적인 도메인 침투를 성공하여 악용하여 C2 작업을 수행하면 대부분의 조직이 신뢰할 수 있는 웹 사이트는 차단하지 않기 때문에 일부 조직의 보안 조치를 우회하는데 이용

또한 MS Word 문서에 포함된 1단계 임플란트는 사전에 결정된 대상 IP 주소 목록과 교차 검증

피해자 시스템 데이터를 평가

2단계 임플란트인 토리스마를 통해 탐지, 발견 위험 최소화 등을 수행

이 특수 모니터링 임플란트는 시스템에 추가된 새 드라이브와 원격 데스크탑 연결을 통해 모니터링

이 외 맞춤형 쉘코드를 실행하는데 사용

이 캠페인은 관심 대상의 특정 목록이 이미 있다는 점이 가장 큰 특징

C2가 보낸 임플란트의 진행 상황을 모니터링하고 로그 파일에 기록하여 어떤 피해자가 성공적으로 침투했는지에 대한 개요를 제공

추가 모니터링 가능

openLab