얼마 전부터 맥용 멀웨어 새롭게 사용하기 시작...백도어, 암호화폐 채굴 등
해킹 기술 끝없이 연마...애플 대 라자루스라는 새로운 경쟁 구도 생기나
[보안뉴스 문가용 기자] 북한의 해킹 단체라고 알려진 라자루스(Lazarus)가 최근 여러 가지 맥용 멀웨어를 새롭게 개발해 공격에 활용하고 있다는 사실이 공개됐다. 보안 업체 센티넬원(SentinelOne)이 이에 대해 상세하게 밝힌 보고서를 발표했다.
라자루스는 지난 10년 넘게 활동해 온 APT 단체로, 히든코브라(Hidden Cobra)라고 불리기도 한다. 최근 들어 맥 시스템을 표적으로 삼는 공격을 시도하고 있는데, 주로 금전적인 수익을 올리기 위한 공격에서 이러한 특징이 나타나고 있다고 한다. 대표적인 것이 암호화폐 거래소를 노리고 진행된 애플제우스(AppleJeus) 캠페인이다.
라자루스가 최근 들고 나타난 신형 맥용 멀웨어 중에는 다클스랫(DaclsRAT)과 다중 플랫폼 프레임워크임 마타(MATA)가 눈에 띈다. 마타의 경우, 윈도우와 리눅스 시스템도 공략이 가능하다. 센티넬원은 최근 보고서를 통해 “라자루스가 다클스랫의 새로운 버전을 4월 1일부터 사용하기 시작했다”며 “최신 맥OS 플랫폼을 노릴 수 있게 됐다”고 밝혔다. 이는 라자루스가 맥OS의 업그레이드 현황도 예의 주시하고 있다는 뜻이다.
다클스랫은 팅카OTP(TinkaOTP)라는 1회용 비밀번호 생성 애플리케이션에 숨어서 퍼지고 있는 중이라고 한다. 팅카OTP는 원래 합법적인 정상 애플리케이션인데, 라자루스가 감염시킨 버전이 비정상적인 경로로 퍼지는 중이다. 이렇게 배포되는 다클스랫은 두 가지 버전으로 나뉘는데, 하나는 팅카OTP의 리소스 폴더에 페이로드가 숨겨져 있고, 다른 하나는 C&C 서버로부터 페이로드가 다운로드 된다.
그 외에도 라자루스는 코인고트레이드(CoinGoTrade)와 크립토이스틱(Cryptoistic)이라는 맥용 멀웨어를 사용하고 있기도 하다. 둘 다 암호화폐와 관련된 멀웨어로 보이며, 각각 오브젝티브C(Objective-C)와 스위프트(Swift)로 작성됐다고 한다. 그 다음에 발견된 맥용 멀웨어는 OSX.Casso라고 하며, 가벼운 용량의 백도어다. 윈도우 버전이 따로 존재한다.
마지막으로 최근 14일 동안에는 왓치캣(WatchCat)과 미디어리모트(MediaRemote)라는 멀웨어 패밀리가 자주 사용되고 있다고 센티넬원은 밝혔다. 아직 이 두 가지 멀웨어의 정확한 기능은 분석 중에 있다.
센티넬원이 분석한 바에 따르면 이 멀웨어들은 전부 이전에 라자루스 공격에서 발견된 백도어를 비롯해 악성 OTP 앱과 뚜렷한 코드 유사성을 보인다고 한다. 하지만 과거 무기들보다 더 강력한 기능들을 여러 개 탑재하고 있다고도 한다. “예를 들어 웹셸(WebShell)과 온보드 crc32 테이블을 사용해 설정 파일을 복호화 하는 기능이 왓치캣에서 처음 발견됐는데, 아직 이게 실제 발동되는 사례는 보지 못했습니다.”
센티넬원이 보고서를 통해 망라한 멀웨어 샘플들 모두 지난 8~10주 안에 활발히 나타난 것이라고 한다. 그러면서 “라자루스가 여러 가지 캠페인을 동시에 진행하고 있는 것으로 보인다”고 분석했다. “다양한 기술력을 발휘해 여러 목적을 한 번에 달성하기 위해 애쓰는 것 같습니다. 그 동안 무시해왔던 애플의 생태계도 이제 라자루스의 표적이 되었고요.”
그러면서 센티넬원은 “그저 윈도우 기반 PC에서 사용했던 멀웨어를 맥용으로 포팅한 것이 아니라, 맥OS라는 환경을 잘 이해한, 맥OS 전문 개발자들이 참여한 듯한 흔적이 멀웨어에서 나타나고 있다”고 경고하기도 했다. “라자루스 대 애플이라는 구도는 한 번도 나온 적이 없어서 예측이 불가능합니다. 이 상황이 어떻게 흘러갈지 지켜봐야 할 것입니다.”
3줄 요약
1. 북한의 라자루스, 최근 공격 캠페인을 다중으로 실시하는 듯.
2. 특히 애플 생태계를 공략하기로 마음먹은 듯한 증거들이 나타나기 시작함.
3. 백도어, 암호화폐 채굴 멀웨어, 랜섬웨어 등 맥 전용 멀웨어들이 속속 등장.
[국제부 문가용 기자(globoan@boannews.com)]
해킹 기술 끝없이 연마...애플 대 라자루스라는 새로운 경쟁 구도 생기나
[보안뉴스 문가용 기자] 북한의 해킹 단체라고 알려진 라자루스(Lazarus)가 최근 여러 가지 맥용 멀웨어를 새롭게 개발해 공격에 활용하고 있다는 사실이 공개됐다. 보안 업체 센티넬원(SentinelOne)이 이에 대해 상세하게 밝힌 보고서를 발표했다.
[이미지 = utoimage]
라자루스는 지난 10년 넘게 활동해 온 APT 단체로, 히든코브라(Hidden Cobra)라고 불리기도 한다. 최근 들어 맥 시스템을 표적으로 삼는 공격을 시도하고 있는데, 주로 금전적인 수익을 올리기 위한 공격에서 이러한 특징이 나타나고 있다고 한다. 대표적인 것이 암호화폐 거래소를 노리고 진행된 애플제우스(AppleJeus) 캠페인이다.
라자루스가 최근 들고 나타난 신형 맥용 멀웨어 중에는 다클스랫(DaclsRAT)과 다중 플랫폼 프레임워크임 마타(MATA)가 눈에 띈다. 마타의 경우, 윈도우와 리눅스 시스템도 공략이 가능하다. 센티넬원은 최근 보고서를 통해 “라자루스가 다클스랫의 새로운 버전을 4월 1일부터 사용하기 시작했다”며 “최신 맥OS 플랫폼을 노릴 수 있게 됐다”고 밝혔다. 이는 라자루스가 맥OS의 업그레이드 현황도 예의 주시하고 있다는 뜻이다.
다클스랫은 팅카OTP(TinkaOTP)라는 1회용 비밀번호 생성 애플리케이션에 숨어서 퍼지고 있는 중이라고 한다. 팅카OTP는 원래 합법적인 정상 애플리케이션인데, 라자루스가 감염시킨 버전이 비정상적인 경로로 퍼지는 중이다. 이렇게 배포되는 다클스랫은 두 가지 버전으로 나뉘는데, 하나는 팅카OTP의 리소스 폴더에 페이로드가 숨겨져 있고, 다른 하나는 C&C 서버로부터 페이로드가 다운로드 된다.
그 외에도 라자루스는 코인고트레이드(CoinGoTrade)와 크립토이스틱(Cryptoistic)이라는 맥용 멀웨어를 사용하고 있기도 하다. 둘 다 암호화폐와 관련된 멀웨어로 보이며, 각각 오브젝티브C(Objective-C)와 스위프트(Swift)로 작성됐다고 한다. 그 다음에 발견된 맥용 멀웨어는 OSX.Casso라고 하며, 가벼운 용량의 백도어다. 윈도우 버전이 따로 존재한다.
마지막으로 최근 14일 동안에는 왓치캣(WatchCat)과 미디어리모트(MediaRemote)라는 멀웨어 패밀리가 자주 사용되고 있다고 센티넬원은 밝혔다. 아직 이 두 가지 멀웨어의 정확한 기능은 분석 중에 있다.
센티넬원이 분석한 바에 따르면 이 멀웨어들은 전부 이전에 라자루스 공격에서 발견된 백도어를 비롯해 악성 OTP 앱과 뚜렷한 코드 유사성을 보인다고 한다. 하지만 과거 무기들보다 더 강력한 기능들을 여러 개 탑재하고 있다고도 한다. “예를 들어 웹셸(WebShell)과 온보드 crc32 테이블을 사용해 설정 파일을 복호화 하는 기능이 왓치캣에서 처음 발견됐는데, 아직 이게 실제 발동되는 사례는 보지 못했습니다.”
센티넬원이 보고서를 통해 망라한 멀웨어 샘플들 모두 지난 8~10주 안에 활발히 나타난 것이라고 한다. 그러면서 “라자루스가 여러 가지 캠페인을 동시에 진행하고 있는 것으로 보인다”고 분석했다. “다양한 기술력을 발휘해 여러 목적을 한 번에 달성하기 위해 애쓰는 것 같습니다. 그 동안 무시해왔던 애플의 생태계도 이제 라자루스의 표적이 되었고요.”
그러면서 센티넬원은 “그저 윈도우 기반 PC에서 사용했던 멀웨어를 맥용으로 포팅한 것이 아니라, 맥OS라는 환경을 잘 이해한, 맥OS 전문 개발자들이 참여한 듯한 흔적이 멀웨어에서 나타나고 있다”고 경고하기도 했다. “라자루스 대 애플이라는 구도는 한 번도 나온 적이 없어서 예측이 불가능합니다. 이 상황이 어떻게 흘러갈지 지켜봐야 할 것입니다.”
3줄 요약
1. 북한의 라자루스, 최근 공격 캠페인을 다중으로 실시하는 듯.
2. 특히 애플 생태계를 공략하기로 마음먹은 듯한 증거들이 나타나기 시작함.
3. 백도어, 암호화폐 채굴 멀웨어, 랜섬웨어 등 맥 전용 멀웨어들이 속속 등장.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
