0xNews - LNK 파일 감염 체인을 통해 악성코드 배포하는 북한 사이버 공격 그룹 발견

Checkpoint 발표

ScarCruft 로 알려진 북한 사이버 공격 그룹은 2022년 7월부터 RokRAT 맬웨어의 전달 경로로 초대형 LNK 파일을 테스트하기 시작

같은 달 MS에서는 기본적으로 오피스 문서에서 매크로를 차단하기 시작

RokRAT는 수년 동안 크게 변경되지 않았지만 배포 방법이 발전

이제는 다단게 감염 체인을 시작하는 LNK파일이 포함된 아카이브를 활용

APT와 사이버 범죄자가 모두 신뢰할 수 없는 소스의 매크로 차단을 극복하려고 시도하는 위협 환경의 주요 추세를 나타내는 또 다른 방식

ScarCruft 는 기존에 APT37, InkySquid, Nickel Foxcroft, Reaper, RedEys 등으로 알려짐

다양한 맞춤형 도구를 제공하도록 설계된 스피어 피싱 공격의 일부

한국 내 개인이나 단체를 대상으로 공격하는 위협 그룹

기존 북한의 Lazarus Group, Kimsuky 와 달리 적대적인 집단은 국내 방첩 활동과 해외 방법 활동을 담당하는 북한 국가안전보위부 MSS Ministry of State Security 의 감독을 받음

이 그룹이 사용하는 주요 악성코드로는 RokRAT 로 DOGCALL 로도 불리며 macOS(CloudMensis)나 안드로이드(RambleOn)와 같은 다른 플랫폼에 적용되어 백도어가 활발하게 개발되고 유지되고 있음을 확인

RokRAT 나 그 변종은 자격 증명 도용, 데이터 유출, 스크린샷 캡처, 시스템 정보 수집, 명령어 실행, 쉘 코드 실행, 파일이나 디렉토리 접근과 같은 광범위한 활동 수행 가능

이렇게 수집된 정보 중 일부는 트랙을 덮기 위해 MP3파일 형식으로 저장

C2 Command-and-Control 로 위장하기 위해 Dropbox, MS OneDrive, pCloud, Yandex Cloud 등과 같은 클라우드 서비스를 사용하여 다시 전송

이 공격 그룹에서 사용하는 기타 맞춤형 맬웨어로는 Chinotto, BLUELIGHT, GOLDBACKDOOR, Dolphin 과 가장 최근에는 M2RAT 가 포함되지만 이에 국한되지 않고 더 많을 수 있음

속성을 혼동하기 위해 공격자로부터 추가 맬웨어를 다운로드하라는 명령을 받을 수 있는 다운로더인 Amadey와 같은 상용 맬웨어를 사용하는 것으로 알려져 있음

ASEC AhnLab Security Emergency Response Center 는 지난 주 RokRAT 악성코드를 배포하는 PowerShell 명령이 포함된 파일과 함께 LNK파일을 감염 시퀸스를 활성화하기 위한 디코이로 사용하는 것을 강조

APT37은 계속해서 상당한 위협을 가하고 있으며 플랫폼 전반에 걸쳐 여러 캠페인을 시작하고 맬웨어 전달 방법을 크게 개선하고 있음

openLab