.jpg)
.jpg)
사용자 PC, 시스템 정보, 최근 실행 목록, 실행 프로그램 리스트 정보 수집하고 좀비PC 만들어
특정 정부 지원 받는 김수키(Kimsuky) 조직의 이전 공격과 악성코드 제작기법, 공격 스타일 등 동일
[보안뉴스 원병철 기자] ‘통일외교안보특보 세미나 발표 문서’를 사칭해 특정 관계자 정보를 노린 스피어피싱(Spear Phishing) 공격이 발견돼 관련 업계 종사자들의 각별한 주의가 필요하다. 보안 전문 기업 이스트시큐리티(대표 정상원)는 지난 1월 6일(현지 시간) 미 워싱턴DC 국익연구소의 ‘2020년 대북 전망 세미나 관련 질의응답 내용’ 등을 담은 악성 이메일이 발견됐다고 14일 긴급 발표했다.
해당 악성 DOC 문서 파일을 열어보면 MS워드 프로그램 상단에 보안 경고창이 나타나는 동시에 문서를 정상적으로 보기 위해 경고창의 ‘콘텐츠 사용’ 버튼을 누르도록 유도하는 영문 안내가 나타난다.
이번 공격은 실제 지난 6일(현지시간) 미국 싱크탱크 국익연구소가 워싱턴DC에서 2020년 대북 전망을 주제로 한 세미나를 진행한 것으로 알려졌으며, 공격자가 마치 해당 세미나 내용처럼 위장해 APT(지능형지속위협) 공격을 수행한 것으로 판단된다.
실제 발견된 악성 문서 파일명은 ‘문정인 대통령 통일외교안보특보 미국 국익센터 세미나.doc’ 이다. 만약 수신자가 세미나 발표자료로 착각해 이 문서를 실행하고 매크로 사용을 허용할 경우 한국의 특정 서버에서 추가 악성코드를 설치하고, 사용자 PC의 △시스템 정보 △최근 실행 목록 △실행 프로그램 리스트 등 다양한 정보를 수집하는 동작을 수행하는 동시에 공격자의 추가 명령을 대기하는 이른바 좀비 PC가 된다.
좀비 PC 상태가 되면 공격자가 원격 제어 등을 통해 언제든 추가 악성 행위를 시도할 수 있어 2차 피해로 이어질 가능성이 높다. 다만, 스크립트 형식에 일부 알파벳 오타가 존재해 명령어가 제대로 수행되지 않는 경우도 존재한다.
특히, 해당 악성파일을 ‘바이러스토탈(Virustotal)’에서 확인했더니 전체 61개 안티 바이러스 제품 중에서 20개만이 악성파일로 진단했다. 물론 실제 제품과 바이러스토탈과는 결과의 차이가 있을 수 있지만, 전체 안티바이러스 제품 중 1/3만이 악성파일로 분류했다는 점만 봤을 때 이번 공격의 위험성을 확인할 수 있다.
이스트시큐리티 시큐리티대응센터(ESRC) 문종현 이사는 “이번 공격은 2019년 4월에 공개된 바 있는 한·미 겨냥 APT 캠페인 ‘스모크 스크린’의 사이버 위협 연장선의 일환으로, HTA 악성 스크립트를 통해 은밀하게 1차 침투를 수행한다”며, “특정 정부의 지원을 받는 것으로 알려진 김수키(Kimsuky) 조직의 이전 공격과 악성코드 제작 기법, 공격 스타일 등이 대부분 동일해 해당 조직의 소행으로 추정된다”라고 밝혔다.
이 밖에도 지난 2019년 10월 동일한 APT 공격자가 북한 난민 구출요청처럼 위장한 내용으로 스피어피싱 공격을 수행한 바도 있으며, 이 공격에 사용된 악성 문서 파일의 작성자 계정은 이번 공격에 사용된 것과 동일 계정으로 분석됐다.
현재 ESRC에서는 피해를 방지하기 위해 공격에 사용된 악성 파일을 면밀히 분석하고 있으며, 추가 분석이 완료되면 분석 내용을 자사의 인공지능 기반 악성코드 위협 대응 솔루션 ‘쓰렛인사이드(Threat Inside)’와 알약 공식 블로그를 통해 공개할 예정이다.
[원병철 기자(boanone@boannews.com)]
특정 정부 지원 받는 김수키(Kimsuky) 조직의 이전 공격과 악성코드 제작기법, 공격 스타일 등 동일
[보안뉴스 원병철 기자] ‘통일외교안보특보 세미나 발표 문서’를 사칭해 특정 관계자 정보를 노린 스피어피싱(Spear Phishing) 공격이 발견돼 관련 업계 종사자들의 각별한 주의가 필요하다. 보안 전문 기업 이스트시큐리티(대표 정상원)는 지난 1월 6일(현지 시간) 미 워싱턴DC 국익연구소의 ‘2020년 대북 전망 세미나 관련 질의응답 내용’ 등을 담은 악성 이메일이 발견됐다고 14일 긴급 발표했다.
▲ 통일외교안보특보 발표자료를 사칭한 악성 문서 파일[자료=이스트시큐리티]
해당 악성 DOC 문서 파일을 열어보면 MS워드 프로그램 상단에 보안 경고창이 나타나는 동시에 문서를 정상적으로 보기 위해 경고창의 ‘콘텐츠 사용’ 버튼을 누르도록 유도하는 영문 안내가 나타난다.
▲악성 문서파일 실행 시 보여지는 콘텐츠 사용 유도 화면[자료=이스트시큐리티]
이번 공격은 실제 지난 6일(현지시간) 미국 싱크탱크 국익연구소가 워싱턴DC에서 2020년 대북 전망을 주제로 한 세미나를 진행한 것으로 알려졌으며, 공격자가 마치 해당 세미나 내용처럼 위장해 APT(지능형지속위협) 공격을 수행한 것으로 판단된다.
실제 발견된 악성 문서 파일명은 ‘문정인 대통령 통일외교안보특보 미국 국익센터 세미나.doc’ 이다. 만약 수신자가 세미나 발표자료로 착각해 이 문서를 실행하고 매크로 사용을 허용할 경우 한국의 특정 서버에서 추가 악성코드를 설치하고, 사용자 PC의 △시스템 정보 △최근 실행 목록 △실행 프로그램 리스트 등 다양한 정보를 수집하는 동작을 수행하는 동시에 공격자의 추가 명령을 대기하는 이른바 좀비 PC가 된다.
좀비 PC 상태가 되면 공격자가 원격 제어 등을 통해 언제든 추가 악성 행위를 시도할 수 있어 2차 피해로 이어질 가능성이 높다. 다만, 스크립트 형식에 일부 알파벳 오타가 존재해 명령어가 제대로 수행되지 않는 경우도 존재한다.
특히, 해당 악성파일을 ‘바이러스토탈(Virustotal)’에서 확인했더니 전체 61개 안티 바이러스 제품 중에서 20개만이 악성파일로 진단했다. 물론 실제 제품과 바이러스토탈과는 결과의 차이가 있을 수 있지만, 전체 안티바이러스 제품 중 1/3만이 악성파일로 분류했다는 점만 봤을 때 이번 공격의 위험성을 확인할 수 있다.
이스트시큐리티 시큐리티대응센터(ESRC) 문종현 이사는 “이번 공격은 2019년 4월에 공개된 바 있는 한·미 겨냥 APT 캠페인 ‘스모크 스크린’의 사이버 위협 연장선의 일환으로, HTA 악성 스크립트를 통해 은밀하게 1차 침투를 수행한다”며, “특정 정부의 지원을 받는 것으로 알려진 김수키(Kimsuky) 조직의 이전 공격과 악성코드 제작 기법, 공격 스타일 등이 대부분 동일해 해당 조직의 소행으로 추정된다”라고 밝혔다.
이 밖에도 지난 2019년 10월 동일한 APT 공격자가 북한 난민 구출요청처럼 위장한 내용으로 스피어피싱 공격을 수행한 바도 있으며, 이 공격에 사용된 악성 문서 파일의 작성자 계정은 이번 공격에 사용된 것과 동일 계정으로 분석됐다.
▲2019년 10월 동일한 공격자가 사용한 스피어 피싱 이메일 화면[자료제공=이스트시큐리티]
현재 ESRC에서는 피해를 방지하기 위해 공격에 사용된 악성 파일을 면밀히 분석하고 있으며, 추가 분석이 완료되면 분석 내용을 자사의 인공지능 기반 악성코드 위협 대응 솔루션 ‘쓰렛인사이드(Threat Inside)’와 알약 공식 블로그를 통해 공개할 예정이다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
