0xNews - 북한 APT43그룹의 사이버 범죄를 통한 자금 조달 확인

구글 산하 Mandiant 발표

APT43그룹은 북한 평양의 이익에 부합하는 전략적 정보 수집을 위한 공격 캠페인 수행

스파이 활동과 금전적인 이익을 위한 활동이 그 핵심

자격 증명 수집이나 사회공학적 해킹과 같은 기술을 통해 목표 달성

전략적 정보 수집의 주요 임무를 달성하기 위해 자금을 충족하려고 함

주로 한국과 미국, 일본, 유럽의 정부, 교육기관, 연구기관, 정책기관, 비즈니스 서비스와 제조 부문을 대상으로 공격 수행

2020년 10월부터 2021년 10월까지는 헬스 관련 업종이나 제약 회사를 주요 공격 대상으로 함

하지만 이후 대상 목표를 변경하는 것으로 보아 우선 순위를 신속하게 변경이 가능함을 확인

발표한 연구원은 APT43은 북한 정권의 이익을 지원하는 다작하는 사이버 운영자라고 밝힘

해당 그룹은 한반도의 지정학적 문제에 대해 초점을 맞춘 한국과 미국 기반 정부 기관과 학계, 싱크 탱크에 대한 사회공학적 해킹과 전술을 정교한 기술 능력과 합쳐서 공격적으로 수행

APT43은 북한의 대외정보기관인 정찰총국 RGB Reconnaissance General Bureau 와 일치하는 것으로 알려져 있음

또한 많이 알려진 김수키 kimsuky 라고 불리는 또다른 해킹 그룹과 비교하면 공격기법이나 전술적인면에서 많이 중복된 것으로 나타남

라자루스 그룹 Lazarus Group 와 같이 이전에는 RGB 내 다른 하위 그룹에서 사용되는 도구를 사용하는 것 또한 관찰

APT43이 보유한 공격 체인 방법은 피해자를 유인하기 위한 맞춤형 미끼가 포함된 스피어 피싱 이메일 spear-phishing emails 포함

이메일 메시지는 신뢰를 얻기 위해 대상의 전문분야나 특정 개인으로 위장하여 스푸핑이나 사기성 페르소나를 사용하여 전송

또한 다양한 경로로 취득한 개인정보 내 연락처 목록 등을 활용하여 더 많은 대상을 식별하고 암호화폐를 탈취

공격 자금으로 활용하는 것으로 알려져 있음

탈취한 디지털 자산은 해시 렌탈 hash rental 이나 클라우드 마이닝 cloud mining 서비스를 사용하여 자금 세탁되어 포렌식 흔적을 지우고 깨끗한 암호화폐로 변환

공격 작업은 LATEOP, FastFire, gh0st RAT, Quasar RAT, Amadey, PENCILDOWN이라는 윈도우 기반 다운로더를 안드로이드 버전과 같이 공개적으로 사용 간으한 대량의 맞춤형 악성코드를 통해서 실현

LATEOP 는 일명 BabyShark 로 불리며 2018년경 발견됐으며 VB script 베이스로 작성

FastFire 는 안드로이브 APK 로 위장한 맬웨어이며 FastViewer, FastSpy 등으로도 불림

2021년 대한민국 외교부 등을 공격한 것이 확인되면서 해당 공격과 그룹에 대한 정보가 확인

공격의 궁극적인 목표는 광범위한 합법적인 서비스를 모방하고 수집된 데이터를 사용

온라인 페르소나를 생성하는 도메인을 통해 자격증명수집 캠페인을 용이하게 하는 것

역사적으로 사이버 스파이 활동에 초점을 맞춰온 북한 사이버 공격 그룹 사이에서 금전적인 동기가 있는 활동이 만연한 것은 자체 자금 조잘에 대한 광범위한 명령과 추가자원 없이 스스로를 유지하려는 기대를 시사

이번 조사 결과는 한국과 독일 정부기관이 사용자의 지메일 Gmail의 받은 편지함을 훔치기 위해 악성 프로그램을 확장 프로그램으로 사용하는 Kimsuky 가 수행하는 사이버 공격에 대해 경고한지 일주일만에 확인

한국 안랩에서의 해당 공격에 대한 경고

독일 연방헌법수호청 BfV Protection of the Constitution 해당 공격에 대한 경고

APT43은 평양 지도부의 요구에 매우 민감하게 반응하고 있고 높은 활동 속도를 유지하고 있음

북한 정권을 지지하기 위해 타국 정부나 군대, 외교 기관에 대한 스피어 피싱이나 자격 증명 수집이 이 그룹의 핵심 임무

궁극적으로 그룹의 후원자인 북한 정권을 위해 목표, 전술, 기술이나 절차를 꾸준히 수정하여 공격 수행

openLab