1. 금성121, 최신 APT 캠페인 '작전명 로켓 맨(Operation Rocket Man)' 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. ESRC에서는 지난 03월 20일 미디어를 통해 대북 단체 및 국방분야를 주요 공격 대상으로 사이버 침투활동을 전개해 온 정부지원 APT 위협그룹 금성121(Geumseong121) 조직이 안드로이드 기반 모바일 스피어 피싱(Spear Phishing)공격까지 수행함을 공개한 바 있습니다. 그리고 07월 04일에는 남북이산가족찾기 전수조사 내용으로 사칭한 스피어피싱 이메일 주의를 안내해 드린 바도 있습니다. [그림 1] 금성121 그룹의 공격 벡터 사례 베일에 쌓여있는 공격자들은 CVE-2018-48..

악성코드 분석 리포트 2018. 8. 22. 21:21

안녕하세요? 이스트시큐리티입니다. 통일부를 사칭한 해킹 공격 시도가 꾸준히 발견되고 있어, 이용자분들의 각별한 주의가 요망됩니다.특히, html 유형의 악성코드를 첨부해 보내는 특징이 있습니다. [그림 1] 스피어피싱 이메일 화면 이른바 정부지원 해커로 알려진 ‘금성121(Geumseong121)’ 그룹이 공식적인 ‘남북이산가족찾기 전수조사’ 내용으로 사칭한 해킹 이메일을 통해 APT 공격을 수행하고 있어 각별한 주의가 필요합니다. [그림 2] 남북이산가족찾기 의뢰서로 위장한 악성파일 실행 화면 시큐리티대응센터(ESRC)가 분석한 내용에 따르면, 이번 공격에 사용된 HWP 문서취약점은 기존 스타일에서 포스트스크립트(PostScript) 리버스 난독화 기법이 추가되었고, 문서 스트림에 암호화되어 숨겨진 최..

악성코드 분석 리포트 2018. 7. 4. 14:11

■ 오퍼레이션 김수키의 최신 APT 공격, '작전명 원제로(Operation Onezero)' 배경 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 저희는 지난 02월, 작전명 김수키(Operation Kimsuky)의 활동이 은밀하게 계속되고 있으며, 한국을 대상으로 한 APT(지능형지속위협) 공격이 활성화되어 있음을 알려드린 바 있습니다. ESRC에서는 정부차원의 후원을 받는 공격자(State-sponsored Actor)가 2018년 05월에 수행한 최신 표적형 APT 사례를 확보해 분석하였고, 흥미롭게도 김수키 작전에 사용된 '위협 벡터'(공격자가 침해대상에 사용한 접근수단)와 오버랩된다는 점을 발견했습니다. 해당 위협그룹과 개발코드가..

악성코드 분석 리포트 2018. 5. 28. 21:24

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 2018년 04월 16일 경, 특정 국가지원을 받는 것으로 예상되는 공격자(State-sponsored Actor)가 MS Office 문서 파일 취약점 (CVE-2017-11882)을 활용해 한국인 대상의 스피어 피싱(Spear Phishing) 공격시도 정황을 포착했습니다. ESRC에서는 이 공격자가 '▣오퍼레이션 김수키(Kimsuky)' 캠페인과 연계된 위협 조직으로 판단하고 있습니다. 또한, 유사 변종 악성코드에서는 "전혁진", "김송철" 이라는 한글식 이름이 발견된 바 있습니다. 해당 위협그룹은 대략 2010년부터 2014년 전후로 왕성한 활동을 했습니다. 공격자는 주로 해외 등지에서 외교 및 안보기구 소속으로 활동하는 현지의 ..

악성코드 분석 리포트 2018. 4. 19. 23:16