¾Ç¼ºÄڵ忡 Á¤»ó µðÁöÅм¸íÀ» »ç¿ëÇÔÀ¸·Î½á ŽÁö±â¹ý ¿ìȸ
C&C µµ¸ÞÀÎÀÇ ¿ªÃßÀûÀ» ¾î·Æ°Ô ÇÏ´Â APT °ø°Ý
[º¸¾È´º½º ¹Î¼¼¾Æ] Áö³ 3¿ù, ÆÄÀ̾î¾ÆÀÌ Àü¹®°¡µéÀº PlugX(Kaba)ÀÇ º¯Á¾ ÇØÅ· Ä·ÆäÀÎÀÎ ¡®Poisoned Hurricane¡¯À» óÀ½À¸·Î ŽÁöÇß´Ù. ÀÌ º¯Á¾Àº adobe.com, update.adobe.com°ú outlook.com°ú °°Àº Á¤»óµµ¸ÞÀο¡ ¿¬°áÀ» ½ÃµµÇÑ´Ù.
°ø°ÝÀÚ´Â ´Ù¼öÀÇ ¾Ë·ÁÁ® ÀÖ´Â Á¤»ó µµ¸ÞÀεéÀ» ¾Ç¿ëÇÏ¿© ƯÁ¤ ÇÇÇØÀÚµé·ÎºÎÅÍ Àç¹ß¼Û Æ®·¡ÇÈÀ» Àü¼ÛÇÏ°í, PlugX ¾Ç¼ºÄÚµå´Â Ç㸮ÄÉÀÎ Àü±â(Hurricane Electric)»ç ³×ÀÓ¼¹ö¸¦ ÅëÇØ DNS Á¶È¸¸¦ Çϵµ·Ï ¼³Á¤À» º¯°æÇÑ´Ù.
¶ÇÇÑ, Poisoned Hurricane Ä·ÆäÀÎÀÇ °ø°ÝÀÚ´Â ¾Ç¼ºÄڵ忡 Á¤»ó µðÁöÅм¸íÀ» »ç¿ëÇÔÀ¸·Î½á ŽÁö±â¹ýÀ» ¿ìȸÇÑ´Ù.
ÇØÄ¿´Â °æÂû°øÁ¦È¸¹ýÀÇ µðÁöÅÐÀÎÁõ¼¿Í MOCOMSYSÀÇ ¸¸·áµÈ ÀüÀÚÀÎÁõ¼¸¦ °ø°Ý¿¡ ÀÌ¿ëÇϴµ¥, ÀÌ´Â ¾Æ½Ã¾Æ¿Í ¹ÌÁÖÁö¿ªÀÇ ´Ù¼öÀÇ ISP, ¹ÌÁÖÀÇ ¹æ¼Û¡¤¾ð·Ð´Üü, ¾Æ½Ã¾ÆÀÇ Á¤ºÎ ¹× ±ÝÀ¶±â°üÀ» Ç¥ÀûÀ¸·Î ÇÑ °ø°ÝÀÌ´Ù.
ÆÄÀ̾î¾ÆÀÌ ÃøÀº º¯Á¶µÈ 21°³ÀÇ Á¤»óµµ¸ÞÀο¡ Á¢¼ÓÇÑ ¹æ¹®ÀÚÀÇ PC¸¸ÀÌ PlugX º¯Á¾¿¡ °¨¿°µÇ¾ú´Ù°í ¹àÇû´Ù. Àü¹®°¡ÀÇ ¼³¸í¿¡ µû¸£¸é, Ç㸮ÄÉÀÎ Àü±â»çÀÇ DNS ¼ºñ½º¿¡ ´©±¸³ª ¹«·á°èÁ¤À» °¡Áú ¼ö ÀÖÀ¸¸ç, ¿µ¿ª(zone)À» µî·ÏÇÏ°í ±â·ÏÀ» ³²±æ ¼ö ÀÖ´Â °ÍÀ¸·Î ¾Ë·ÁÁ³´Ù.
´õºÒ¾î »ý¼ºµÈ ±â·ÏÀº adobe.com°ú °°Àº Á¤»ó µµ¸ÞÀÎÀ» º¯Á¶ÇÒ ¼ö ÀÖÀ¸¸ç, ³×ÀÓ¼¹ö°¡ ¿£µå À¯Àúµé¿¡ ÀÇÇÏ¿© Á÷Á¢ Äõ¸®¹®À» ¼Û½ÅÇϵµ·Ï °í¾ÈµÇÁö´Â ¾Ê¾ÒÁö¸¸, °ø¿ë Ç㸮ÄÉÀÎ Àü±âÀÇ DNS ¼ºñ½º¸¦ ÅëÇØ º¯Á¶µÈ µµ¸ÞÀο¡ Á÷Á¢ÀûÀ¸·Î Á¢¼ÓÇÑ °á°úÀÓÀ» ¹àÇû´Ù.
ÇöÀç Ç㸮ÄÉÀÎ Àü±â»ç´Â º¯Á¶µÈ µµ¸ÞÀεé·ÎºÎÅÍ ÀÀ´äÇÏÁö ¾Ê´Â °ÍÀ¸·Î È®Àεǰí ÀÖ´Ù.
ÇØ´ç °ø°ÝÀº C&C µµ¸ÞÀÎÀÇ ¿ªÃßÀûÀ» ¾î·Æ°Ô ÇÏ¸ç ¹é½ÅÀÇ Å½Áö¸¦ ¿ìȸÇÏ´Â APT °ø°ÝÀ¸·Î, ÆÄÀ̾î¾ÆÀÌ´Â À̹ø °ø°Ý¹æ¹ýÀÌ C&C ¼¹öÀÇ À§Ä¡¸¦ È¥¶õ½º·´°Ô ¸¸µå´Â ±¸±Û Äڵ尡 »ç¿ëµÈ APT °ø°Ý°ú µ¿ÀÏÇÏ´Ù°í ¹àÇû´Ù.
¸¸¾à C&C¿ÍÀÇ Åë½Å Æ®·¡ÇÈÀÌ Å½ÁöµÇ¾ú´Ù°í ÇÒÁö¶óµµ ¾Ç¼ºÄÚµå´Â Á¤»ó µµ¸ÞÀο¡ Á¢¼Ó½Ãµµ¸¦ ÇÔÀ¸·Î ¹é½Å ¹× ŽÁö ÅøÀ» ¿ìȸÇÑ´Ù´Â °ÍÀÌ´Ù.
ÀÌ¿Í °ü·ÃÇÑ º¸´Ù ÀÚ¼¼ÇÑ »çÇ×Àº Çѱ¹ÀÎÅͳÝÁøÈï¿ø ÀÎÅͳÝħÇØ´ëÀÀ¼¾ÅÍ À¥»çÀÌÆ® ¶Ç´Â ¾Æ·¡ÀÇ Ãâó¸¦ Âü°íÇÏ¸é µÈ´Ù.
[Ãâó]
http://securityaffairs.co/wordpress/27465/cyber-crime/op-poisoned-hurricane.html
http://www.fireeye.com/blog/technical/targeted-attack/2014/08/operation-poisoned-hurricane.html
[¿ë¾îÁ¤¸®]
1. PlugX(Kaba) : Á¤»ó IPÁÖ¼Ò¿Í µµ¸ÞÀο¡ ¿¬°á½Ãµµ¸¦ ÇÔÀ¸·Î½á ¾Ç¼ºÇàÀ§¸¦ ÀºÆóÇÏ·Á´Â APT±â¹ý
2. ³×ÀÓ¼¹ö ÁÖ¼Ò : 216.218.130.2, 216.218.131.2, 216.218.132.2
[¹Î¼¼¾Æ ±âÀÚ(boan5@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(http://www.boannews.com/) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>