미국이 북한 Hidden Cobra 조직이 개발한 악성코드 DeltaCharlie에 주의 경고!

DHS and FBI issue alert about North Korean 'Hidden Cobra' hackers

13일, 미국의 국토안보부(DHS)와 미국연방조사국(FBI) 연합은 DeltaCharlie 악성코드 패밀리에 대한 보고서를 발표하였습니다. 보고서에서는 이 악성코드 패밀리의 소유자(소위 Hidden Cobra조직)가 북한정부의 보호를 받고있다고 밝혔습니다. 지난 8년동안, 북한은 이 악성코드 패밀리를 이용하여 여러번의 DDoS 공격을 거행하였습니다. 

Hidden Cobra 조직은 2009년부터 활동을 하기 시작하였으며, 심지어 그보다 더 이른 2007년부터 사이버 스파잉 및 테러 활동에 참가한 것으로 추정되고 있습니다. 이번에 발표한 주의공지에서는 해당 조직과 관련된 정보와 DeltaCharlie 악성코드를 이용한 DDoS 공격에 대한 자세한 내용이 포함되어 있습니다. 

Hidden Cobra란?

이번에 DHS와 FBI가 함께 발간한 보고서 및 Operation Blockbuster의 보고서에 따르면, Hidden Cobra는 2014~2015년에 활동한 Lazarus(혹은 Guardians of Peace) 조직이며, DeltaCharlie는 이 해커조직이 개발한 또 다른 DDoS bot인 것으로 추정됩니다. 

DeltaCharlie는 DNS 포이즈닝, NTP 공격 및 CGP 공격 등 DDoS 공격을 목표로 하는 악성코드 입니다. 봇넷악성코드는 시스템을 감염시켜, 임의의 문서를 내려받고, 바이너리 파일을 업데이트 하며, 실시간으로 문서설정을 바꾸며, 프로세스 관리 혹은 시작, DDoS 공격 멈춤 등의 행위를 할 수 있습니다. 

DHS와 FBI는 해당 조직을 HIDDEN COBRA라고 명명하였으며, 현재 추적중에 있다고 밝혔습니다. 지금까지 발견된 악성코드 패밀리들은 DeltaCharlie 이외에 DeltaAlfa 및 DeltaBravo도 있습니다. 

이 악성코드는 최근에 등장한 것들은 아니며, 2016년 2월 최초로 이 악성코드들의 존재가 탐지되었습니다. DHS와 FBI는 이 악성코드 패밀리에 감염된 봇넷 IP명단 및 YARA 룰을 리스트화 하여 기업 및 전문가들이 효과적으로 해당 악성코드에 대응할 수 있도록 공개하였습니다. 

지난 8년동안, 해당 조직은 주로 매체, 항공, 금융 및 주요 기반시설을 타겟으로 공격을 진행하였습니다. HIDDEN COBRA가 일으킨 사이버 공격들은 주로 봇넷,RAT 및 각종 악성코드 툴 등을 이용하였습니다. 

2009년 7월, 미국, 한국에 대규모 DDoS 공격

2011년 3월, 한국 매체, 금융권 및 국가기반시설에 대규모 DDoS 공격 

2011년 4월, 한국 우리은행 DDoS 

Hidden Cobra가 주로 사용하는 취약점

Hidden Cobra 조직은 주로 업데이트가 중단된 구 버전의 Windows 시스템을 타겟으로 하며, Adobe Flash Player 보안취약점을 이용하여 내부망으로 침투를 합니다. 

다음은 이 조직이 주로 사용하는 취약점 리스트는 다음과 같습니다. 

Hangul Word Processor bug (CVE-2015-6585)

Microsoft Silverlight flaw (CVE-2015-8651)

Adobe Flash Player 18.0.0.324 and 19.x vulnerability (CVE-2016-0034)

Adobe Flash Player 21.0.0.197 Vulnerability (CVE-2016-1019)

Adobe Flash Player 21.0.0.226 Vulnerability (CVE-2016-4117)

참고 : 

http://thehackernews.com/2017/06/north-korea-hacking-malware.html

http://securityaffairs.co/wordpress/60054/apt/north-korea-hidden-cobra.html

http://www.networkworld.com/article/3200944/security/dhs-and-fbi-issue-alert-about-north-korean-hidden-cobra-hackers.html#tk.rss_all