킴수키(Kimsuky)조직, '협의 이혼 의사 확인 신청서'를 위장한 QuasarRAT 유포 중!

 

 

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 

 

주로 피싱/스팸 메일이나 크랙 프로그램을 통해 유포되었던 QuasarRAT이 매크로가 포함된 워드 파일을 통해 유포된 정황이 포착되어 사용자들의 각별한 주의가 필요합니다.

 

QuasarRAT은 공격자로 하여금 원격 접근이 가능하도록 허용하는 악성코드로, 사용자 계정 및 사용자 환경 정보 수집이 가능하며, 원격 코드실행 및 파일 업/다운로드 등 추가 악성행위가 가능합니다.

 

이번에 수집된 샘플은 "협의 이혼 의사 확인 신청서" 워드파일을 위장하고 있으며, 악성 매크로가 포함되어 있습니다. 

 

 

[그림 1] [콘텐츠 사용] 버튼 클릭 유도

 

[그림 2] [콘텐츠 사용] 버튼 클릭 후 보이는 페이지(좌) 및 정상 파일(우)

 

사용자가 파일을 실행하면 [콘텐츠 사용] 버튼 클릭을 유도하며, [콘텐츠 사용] 버튼을 누르면 협의이혼의사확인신청서 양식을 보여주며 정상파일인것 처럼 위장합니다. 하지만 백그라운드에서는  AutoOpen() 함수에 의해 사용되 워드 파일에 포함된 매크로가 자동 실행됩니다.

 

여기에서 주목할만한 점은 일반적인 워드파일과는 다르게, 파일 형식은 .doc 파일이지만 .hwp 파일 형식로 보여진다는 점입니다. 이는 공격자들이 법원 전자민원센터에서 제공되는 한글 파일(.hwp)을 워드 파일(.doc)로 저장하여 이번 공격 디코이 파일로 사용했음을 추측할 수 있습니다.

 

 

[그림 3] 워드파일 내 포함되어 있는 악성 매크로 코드 일부

 

 

매크로가 실행되면 공격자가 미리 설정해 놓은 c2에 접속하여 악성 파일을 version.ini 파일명으로 저장하고 실행합니다. version.ini 파일이 실행되면 version.ini, runps.vbs, conf.ps1 파일을 생성하고 실행합니다. 

 

 

[그림 4] version.ini 실행 후 생성 된 파일 목록

 

 

[그림 5] 스케쥴러 등록

 

 

version.ini 파일은 실행 후 작업 스케쥴러 등록을 통하여 사용자 PC에서의 연속성을 확보하며, runps.vbs는 실행 후 conf.ps1를 실행하며, 실행된 conf.ps1 파일은 공격자가 지정해 놓은 c2에 접속하여 추가 파일을 내려받습니다. 이후 몇 차례 c2 접속 및 파일 다운로드를 반복 후 최종적으로 최종적으로 QuasarRAT을 실행합니다. 

ESRC는 여러 지표들을 분석한 결과, 이번 공격은 북한이 배후에 있는 APT 조직의 '스모크 스크린(Smoke Screen') 공격 활동의 연장선으로 결론지었습니다. 
 

북한정찰총국의 지원을 받는 해커 조직의 국내 공격이 거세지고 있습니다. 

 

사용자 여러분들께서는 의심스러운 파일들의 실행을 지양해 주시기 바라며, 알약과 같은 백신 설치를 통하여 안전한 PC 환경을  만드시기 바랍니다. 

 

현재 알약에서는 해당 악성코드에 대해 Trojan.Downloader.DOC.Gen, Backdoor.MSIL.Quasar.gen,  Trojan.PowerShell.Agent 등으로 탐지중입니다. 

 

 

IoC

E0CF0881DE0FE35732BB02C1F4DF02A3

3C687FB0A1921A53F9C607938F25FDD1 
8F411A46490016AC5D126B83CEE65022 
D4BB07F5A9462612CD0E8A9290E27FC8

*c2는 현재도 접속이 가능하여 비공개