한국 특정 방산업체의 망 분리 요청사항 문서로 위장한 APT 표적 공격
공격에 사용된 Lure 파일은 2018년 7월 4일 제작된 최근 문서로 확인
정부 지원 추정 해커의 사이버 첩보전, 은밀하고 지속적으로 수행 중
[보안뉴스 김경애 기자] 최근 문서파일 취약점을 이용한 APT(지능형지속위협) 공격 정황이 연이어 발견되고 있는 가운데 ‘한국 방산업체 망 분리 관련 요청사항’이라는 제목의 문서로 사칭한 악성코드가 발견됐다.
6일 이스트시큐리티(대표 정상원)에 따르면 이번 공격에 사용된 악성 문서 파일은 한국시각(UTC+09) 기준으로 2018년 7월 4일 오후 9시 50분경 제작됐고, 7월 5일 최초로 발견됐다.
실제 공격에 사용된 취약점 공격(익스플로잇, Exploit) 코드는 다행히 제로데이(Zero-Day) 취약점은 아닌 것으로 확인돼 사용 중인 문서 작성 프로그램이 최신 버전으로 보안 업데이트를 유지하고 있는 상태라면 해당 위협에 바로 노출되지는 않는다.
HWP 취약점 작동 방식을 상세히 분석한 시큐리티대응센터(이하 ESRC) 소속의 악성코드 분석가 강석권 대리는 “문서 스트림 내부에 XOR 코드로 암호화된 포스트스크립트 셸코드(Shellcode)가 작동하면 BMP 이미지 포맷에 정교하게 숨겨져 있는 악성 모듈이 실행되고, 한국 소재의 특정 호스트로 은밀하게 통신을 시작해 추가 명령 대기 및 잠복을 수행한다”고 설명했다.
ESRC 인텔리전스 위협 분석에 따르면 공격에 사용된 악성코드는 기존에 정부 지원을 받는 것으로 추정되는 APT 공격 시리즈와 코드 유사성과 시퀀스가 매우 높고, 한국의 특정 웹 서버 5개를 해킹해서 명령제어(C&C) 서버로 사용한 것도 확인됐다.
특히, 특정 방위산업체 망 분리 관련 요청사항이라는 제목의 문서를 사용한 것을 미뤄볼 때 관계된 업무 종사자나 업체 상대로 한 표적 공격일 가능성을 염두에 두고 관계기관과 공조해 협력 대응체계를 유지하고 있다.
ESRC 문종현 이사는 “최근 국내에 특화된 한국 맞춤형 스피어피싱 공격 정황이 지속적으로 포착되고 있으며, 정부기관 문서 사칭뿐만 아니라 방위산업 관련 문서 내용까지 악용되는 만큼 보다 세심한 관심과 주의가 필요하다”고 밝혔다. 이어 그는 “이번 공격은 정부 지원을 받는 것으로 알려진 그룹의 공격기법과 유사도가 높다. 이에 따라 민관이 협력해 위협 인텔리전스 보안 강화에 힘써야 한다”고 강조했다.
현재 이스트시큐리티는 특정 위협 그룹의 추적을 지속적으로 유지하고 있으며, 하반기 정식 출시 예정인 ‘쓰렛 인사이드(Threat Inside)’ 위협 인텔리전스 서비스를 통해 보다 체계적인 위협정보 분석 시스템을 공유할 계획이다.
[김경애 기자(boan3@boannews.com)]
공격에 사용된 Lure 파일은 2018년 7월 4일 제작된 최근 문서로 확인
정부 지원 추정 해커의 사이버 첩보전, 은밀하고 지속적으로 수행 중
[보안뉴스 김경애 기자] 최근 문서파일 취약점을 이용한 APT(지능형지속위협) 공격 정황이 연이어 발견되고 있는 가운데 ‘한국 방산업체 망 분리 관련 요청사항’이라는 제목의 문서로 사칭한 악성코드가 발견됐다.
▲방위산업체 망 분리 관련 요청사항의 악성 문서파일 실행화면[이미지=이스트시큐리티]
6일 이스트시큐리티(대표 정상원)에 따르면 이번 공격에 사용된 악성 문서 파일은 한국시각(UTC+09) 기준으로 2018년 7월 4일 오후 9시 50분경 제작됐고, 7월 5일 최초로 발견됐다.
실제 공격에 사용된 취약점 공격(익스플로잇, Exploit) 코드는 다행히 제로데이(Zero-Day) 취약점은 아닌 것으로 확인돼 사용 중인 문서 작성 프로그램이 최신 버전으로 보안 업데이트를 유지하고 있는 상태라면 해당 위협에 바로 노출되지는 않는다.
HWP 취약점 작동 방식을 상세히 분석한 시큐리티대응센터(이하 ESRC) 소속의 악성코드 분석가 강석권 대리는 “문서 스트림 내부에 XOR 코드로 암호화된 포스트스크립트 셸코드(Shellcode)가 작동하면 BMP 이미지 포맷에 정교하게 숨겨져 있는 악성 모듈이 실행되고, 한국 소재의 특정 호스트로 은밀하게 통신을 시작해 추가 명령 대기 및 잠복을 수행한다”고 설명했다.
ESRC 인텔리전스 위협 분석에 따르면 공격에 사용된 악성코드는 기존에 정부 지원을 받는 것으로 추정되는 APT 공격 시리즈와 코드 유사성과 시퀀스가 매우 높고, 한국의 특정 웹 서버 5개를 해킹해서 명령제어(C&C) 서버로 사용한 것도 확인됐다.
특히, 특정 방위산업체 망 분리 관련 요청사항이라는 제목의 문서를 사용한 것을 미뤄볼 때 관계된 업무 종사자나 업체 상대로 한 표적 공격일 가능성을 염두에 두고 관계기관과 공조해 협력 대응체계를 유지하고 있다.
ESRC 문종현 이사는 “최근 국내에 특화된 한국 맞춤형 스피어피싱 공격 정황이 지속적으로 포착되고 있으며, 정부기관 문서 사칭뿐만 아니라 방위산업 관련 문서 내용까지 악용되는 만큼 보다 세심한 관심과 주의가 필요하다”고 밝혔다. 이어 그는 “이번 공격은 정부 지원을 받는 것으로 알려진 그룹의 공격기법과 유사도가 높다. 이에 따라 민관이 협력해 위협 인텔리전스 보안 강화에 힘써야 한다”고 강조했다.
현재 이스트시큐리티는 특정 위협 그룹의 추적을 지속적으로 유지하고 있으며, 하반기 정식 출시 예정인 ‘쓰렛 인사이드(Threat Inside)’ 위협 인텔리전스 서비스를 통해 보다 체계적인 위협정보 분석 시스템을 공유할 계획이다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-09-30] 
.jpg)
