.jpg)
러시아의 공격 단체인 털라와 제브로시가 사용하던 무기, 샘플들 7개 공개돼
털라와 제브로시, 주로 정부 기관 노리던 단체...보안 필수 수칙 지키는 게 필수
[보안뉴스 문가용 기자] 미국의 사이버사령부(USCYBERCOM)가 러시아의 사이버 공격 단체인 털라(Turla)와 제브로시(Zebrocy)가 사용하는 멀웨어 샘플들을 다수 공개했다. 이 샘플들은 악명 높은 러시아 APT 그룹에 대한 방어를 준비하는 데 적잖은 도움을 줄 것으로 기대된다.
털라의 악성 행위는 20년 전부터 발견되어 왔다. 그 동안 수많은 이름으로 불렸는데, 여기에는 스네이크(Snake), 워터버그(Waterbug), 베노머스 베어(Venomous Bear), 벨루가스터전(Belugasturgeon, 크립톤(KRYPTON) 등이 포함되어 있다. 털라는 최근 다양한 백도어를 가지고 유럽의 하나 정부 조직을 공격한 바 있다.
미국 사이버사령부가 바이러스토탈(VirusTotal)을 통해 공개한 멀웨어 중 하나는 이 털라가 자주 사용해오던 콤랫(ComRAT)이다. 일종의 트로이목마다. 콤랫은 러시아의 위협 행위자들이 사용한 멀웨어들 중 가장 오래된 것 중 하나로 꼽힌다.
미국 국토안보부 산하 사이버 보안 담당 조직인 CISA는 콤랫에 대해 “털라가 피해자들의 네트워크를 익스플로잇 하기 위해 사용해 온 멀웨어”라고 설명하며 “털라는 이 콤랫을 활용해 표적 공격 위주의 작전을 펼쳐온 악명 높은 그룹”이라고 발표한 바 있다. 이 발표에 의하면 털라는 파워셸 스크립트를 사용해 또 다른 스크립트를 피해자의 시스템에 설치하고, 이 새 스크립트는 콤랫 4 버전의 DLL을 로딩한다고 한다.
이번에 미국 사이버사령부가 공개한 콤랫 샘플은 총 다섯 개다. 그 외에도 러시아의 또 다른 위협 행위자인 제브로시가 사용하는 것으로 알려진 멀웨어의 샘플 두 개도 같이 공개됐다.
역사와 전통의 털라와 달리 제브로시는 2018년에 처음 업계에 알려진 단체로, 일각에서는 소파시(Sofacy)라는 APT 단체의 하위 그룹이라는 주장이 나오고 있기도 하다. 소파시는 유명 단체이며, APT28, 팬시베어(Fancy Bear), 폰스톰(Pawn Storm), 세드닛(Sednit), 스트론튬(Strontium)이라는 이름으로도 불린다. 소파시와 제브로시를 별개의 단체로 보는 시각도 존재한다.
2020년 9월 제브로시의 공격 캠페인이 새롭게 발견되기도 했다. 이들은 NATO에 소속되어 있거나 관련이 있는 국가들을 지속적으로 공격해 온 것으로 밝혔다.
이번에 바이러스토탈에 공개된 샘플은 윈도 실행파일의 형태를 가지고 있으며, 제브로시가 원래 사용하던 백도어(이 백도어도 제브로시라고 불린다)의 새로운 변종인 것으로 여겨지고 있다. 이 백도어를 통해 공격자들은 침해된 시스템에 원격으로 접속해 각종 악성 행위를 실시할 수 있게 된다.
CISA와 사이버사령부는 “보안 기본 수칙을 지켜야 한다”고 사용자들과 관리자들 모두에게 권고하고 있다. 또한 이번에 공개된 샘플들에 대한 방어 체계를 최우선으로 갖추는 것이 좋을 것이라고 정부 기관들에 촉구하기도 했다.
3줄 요약
1. 미국 사이버사령부, 러시아 공격 단체의 멀웨어 샘플을 공개함.
2. 털라라는 그룹이 사용하던 콤랫 샘플 5개, 제브로시라는 그룹의 멀웨어 샘플 2개.
3. 보안 수칙 잘 지키고, 공개된 샘플에 대한 방어 체계 갖추는 게 제일 중요.
[국제부 문가용 기자(globoan@boannews.com)]
털라와 제브로시, 주로 정부 기관 노리던 단체...보안 필수 수칙 지키는 게 필수
[보안뉴스 문가용 기자] 미국의 사이버사령부(USCYBERCOM)가 러시아의 사이버 공격 단체인 털라(Turla)와 제브로시(Zebrocy)가 사용하는 멀웨어 샘플들을 다수 공개했다. 이 샘플들은 악명 높은 러시아 APT 그룹에 대한 방어를 준비하는 데 적잖은 도움을 줄 것으로 기대된다.
[이미지 = utoimage]
털라의 악성 행위는 20년 전부터 발견되어 왔다. 그 동안 수많은 이름으로 불렸는데, 여기에는 스네이크(Snake), 워터버그(Waterbug), 베노머스 베어(Venomous Bear), 벨루가스터전(Belugasturgeon, 크립톤(KRYPTON) 등이 포함되어 있다. 털라는 최근 다양한 백도어를 가지고 유럽의 하나 정부 조직을 공격한 바 있다.
미국 사이버사령부가 바이러스토탈(VirusTotal)을 통해 공개한 멀웨어 중 하나는 이 털라가 자주 사용해오던 콤랫(ComRAT)이다. 일종의 트로이목마다. 콤랫은 러시아의 위협 행위자들이 사용한 멀웨어들 중 가장 오래된 것 중 하나로 꼽힌다.
미국 국토안보부 산하 사이버 보안 담당 조직인 CISA는 콤랫에 대해 “털라가 피해자들의 네트워크를 익스플로잇 하기 위해 사용해 온 멀웨어”라고 설명하며 “털라는 이 콤랫을 활용해 표적 공격 위주의 작전을 펼쳐온 악명 높은 그룹”이라고 발표한 바 있다. 이 발표에 의하면 털라는 파워셸 스크립트를 사용해 또 다른 스크립트를 피해자의 시스템에 설치하고, 이 새 스크립트는 콤랫 4 버전의 DLL을 로딩한다고 한다.
이번에 미국 사이버사령부가 공개한 콤랫 샘플은 총 다섯 개다. 그 외에도 러시아의 또 다른 위협 행위자인 제브로시가 사용하는 것으로 알려진 멀웨어의 샘플 두 개도 같이 공개됐다.
역사와 전통의 털라와 달리 제브로시는 2018년에 처음 업계에 알려진 단체로, 일각에서는 소파시(Sofacy)라는 APT 단체의 하위 그룹이라는 주장이 나오고 있기도 하다. 소파시는 유명 단체이며, APT28, 팬시베어(Fancy Bear), 폰스톰(Pawn Storm), 세드닛(Sednit), 스트론튬(Strontium)이라는 이름으로도 불린다. 소파시와 제브로시를 별개의 단체로 보는 시각도 존재한다.
2020년 9월 제브로시의 공격 캠페인이 새롭게 발견되기도 했다. 이들은 NATO에 소속되어 있거나 관련이 있는 국가들을 지속적으로 공격해 온 것으로 밝혔다.
이번에 바이러스토탈에 공개된 샘플은 윈도 실행파일의 형태를 가지고 있으며, 제브로시가 원래 사용하던 백도어(이 백도어도 제브로시라고 불린다)의 새로운 변종인 것으로 여겨지고 있다. 이 백도어를 통해 공격자들은 침해된 시스템에 원격으로 접속해 각종 악성 행위를 실시할 수 있게 된다.
CISA와 사이버사령부는 “보안 기본 수칙을 지켜야 한다”고 사용자들과 관리자들 모두에게 권고하고 있다. 또한 이번에 공개된 샘플들에 대한 방어 체계를 최우선으로 갖추는 것이 좋을 것이라고 정부 기관들에 촉구하기도 했다.
3줄 요약
1. 미국 사이버사령부, 러시아 공격 단체의 멀웨어 샘플을 공개함.
2. 털라라는 그룹이 사용하던 콤랫 샘플 5개, 제브로시라는 그룹의 멀웨어 샘플 2개.
3. 보안 수칙 잘 지키고, 공개된 샘플에 대한 방어 체계 갖추는 게 제일 중요.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
