0xNews - 한국 공공 기관을 대상으로 하는 해킹 공격 발견

MalwarebytesLabs 발표

2012년부터 북한 해커 그룹은 민감 정보 수집을 위해 안드로이드 Android 와 윈도우 Windows 백도어 설치를 위해 한국의 이름이 알려진 공무원을 대상으로 하는 공격 캠페인을 꾸준히 진행

KISA Korea Internet and Security Agency 를 비롯, 한국의 스리랑카, 홍콩 대사관이나 서울 대학교 임직원과 교수, 금융권 고위직 임원 등을 대상

김수키 kimsuky 혹은 Velvet Chollima, Black Banshee, Thallium 등으로 알려진 이 공격 그룹은 한국을 거점으로 하는 단체를 그 대상으로 하며 이와 연계된 각 국가의 그룹의 임직원 등을 대상으로 점차 공격을 확대

2020년 11월 KGH_SPY 라는 새로운 모듈식 스파이웨어 제품에 연결되어 대상 네트워크를 정찰

키로거 활동과 분석을 통해 기밀 정보 유출

CSPY 다운로더 라는 이름으로 악성코드를 통해 은밀히 정보 유출 수행

공격이 외부에 노출되어 분석이 되는 것을 방해하고 추가 페이로드를 다운로드 하도록 설계

Kimsuky 공격 시나리오는 기본적으로 피해자가 자격 증명을 입력하도록 속임

이를 위해 Gmail, Microsoft Outlook, Telegram, Naver, Daum 등과 같이 잘 알려진 웹 사이트를 모방하여 다양한 피싱 웹 사이트 구성

이는 공격자가 나중에 스피어 피싱 이메일을 보내는데도 활용될 이메일 주소를 수집하는데 사용되는 주요 방법 중 하나

사회 공학적 해킹을 운영하는 핵심 구성 요소로 사용할 때 목표는 이메일에 첨부된 zip 압축 파일의 형태를 취하는 맬웨어 드롭퍼 Dropper 배포

최종적으로 빠르면 2019년부터 활용된 것으로 예상되는 AppleSeed 라는 인코딩된 DLL 페이로드를 배포

malpedia 에서 제공하는 AppleSeed 정보 사이트 링크

Kimsuky 가 2019년부터 활동한 것으로 파악되는 분석 리포트 링크

윈도우 사용자를 대상으로 AppleSeed 백도어를 사용하는 것 외 안드로이드 사용자를 대상으로 안드로이드 백도어 사용

이는 AppleSeed 백도어의 모바일 변형으로 윈도우 백도어와 동일한 명령 패턴 사용 확인

또한 안드로이드와 윈도우 백도어 모두 동일한 인프라를 사용

AppleSeed 는 키로거 활동, 스크린샷 캡처, txt ppt hwp pdf doc 등의 특정 확장자의 문서 수집, 이동식 저장기기에서 데이터 수집 등의 활동 수행

또한 원격 명령과 제어 서버에 업로드를 위해 공격자가 만든 시스템에 접속 시도

연구팀은 이번 분석 중 가장 흥미로운 발견은 공격자 스스로 맬웨어 소스 코드에서 자신을 가르켜 Thallium 이라고 지칭한 점

이는 공격 기법 요소에 따라 국가별 해커 그룹을 명명하는 마이크로소프트의 전통에 따라 할당하는 이름

해당 정보가 올라온 마이크로 소프트 사이트 링크

openLab