안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 통일부 정착지원과의 모 사무관이 발송한 업무 내용처럼 위장한 해킹 이메일 공격이 등장해 각별한 주의가 필요합니다. 이번 스피어 피싱 공격은 08월 12일 한국의 대북 분야 종사자를 상대로 진행됐고, 이메일에는 “최근 유명인사를 노린 사이버 공격이 전방위로 진행되고 있어 사이버 안전에 유의를 부탁한다”는 본문과 함께 첨부된 ‘210811_업무연락(사이버안전).doc’ 악성 문서 파일을 열어 보도록 유인하는 특징이 있습니다. 최근 국내 사이버 보안 위협이 가중되고, 민관 사이버 위기 경보가 ‘정상’에서 ‘관심’ 단계로 격상 됨에 따라 공격자가 이 점을 노린 것으로 파악되며, 분석 결과 이번 통일부 사칭으로 유포된 DOC 문서 파일 내부에..

악성코드 분석 리포트 2021. 8. 13. 09:54

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 한국 공공기관을 노린 북한 연계 해킹그룹의 공격이 계속 발견되고 있는 가운데, 이번에는 김수키의 구글 블로그를 활용한 해킹 시도가 급증하고 있어 각별한 주의가 필요합니다. 지난 28일 수행된 이번 공격은 학술대회 참가 양식처럼 위장된 MS Word 문서 파일로 마치 보안 문서처럼 암호가 설정되어 있지만, 이는 보안 프로그램의 탐지를 회피하기 위한 목적으로 사용됩니다. 해당 문서는 전형적인 악성 매크로 기법이 적용돼 있고, ‘콘텐츠 사용’ 버튼을 허용할 경우 악성코드가 실행됩니다. 분석에 의하면, 악성코드가 작동하면 국내 중소기업의 홈페이지(daewon3765.○○○[.]com)와 1차 통신을 시도하고, 그다음 공격자들이 구축한 특정 ..

악성코드 분석 리포트 2021. 7. 1. 13:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 ‘탈륨’ 또는 ‘김수키’ 등의 이름으로 널리 알려진 北 연계 해킹 조직 소행으로 지목된 APT(지능형지속위협) 공격이 국내에서 연이어 발견되고 있어 각별한 주의가 필요합니다. 이번에 새롭게 발견된 APT 공격은 통일부를 사칭한 이메일 공격과 통일연구원을 사칭한 이메일 해킹 공격 유형 등입니다. 먼저 통일부 사칭 공격은 지난 06월 22일 수행됐고, 통일연구원을 사칭한 공격은 24일 포착됐습니다. 두 공격 모두 거의 동일한 시기에 ‘북한의 당 중앙위원회 제8기 제3차 전원회의 분석’ 주제와 관련된 내용처럼 수신자를 현혹하는 공통점이 발견됐습니다. 특히, 수신자들이 해당 이메일을 해킹 공격으로 의심하지 않도록 각 발신지 주소를 실제 통일..

악성코드 분석 리포트 2021. 6. 25. 14:30

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 외교부에서 발행한 것처럼 위장한 악성 파일이 발견되어 관련자들의 각별한 주의가 필요합니다. 해당 공격을 수행한 배후 세력으로는 북한 정부 지원 해커 조직인 ‘탈륨 (Thallium)’이 지목되었으며, 내부 문자열 암호화 방식이 기존 탈륨(Thallium) APT 조직의 ‘블루 에스티메이트 (Blue Estimate)’ 캠페인과 정확히 일치합니다. 이번 공격은 지난 4월에 발견된 ‘2021년 외교부 재외공관 복무 관련 실태 조사’ 관련 해킹 시도의 연장선에 있는 것으로 의심됩니다. 새로 발견된 악성 파일은 2021년 5월 7일 날짜로 발행된 외교부 대변인실 표지의 가판 뉴스가 담긴 정상 PDF 파일 내용을 사용함으로써 수신자의 의심을 최소화..

악성코드 분석 리포트 2021. 5. 7. 16:12

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 외교·안보·국방·통일 분야에 종사하는 전문가나 관계자를 겨냥한 이메일 해킹 시도가 국내에서 지속되고 있어 각별한 주의가 필요합니다. 국제사회에서 오래 전부터 북한 당국과 연계된 것으로 공식 언급되어 온 ‘탈륨’(Thallium)과 ‘라자루스’(Lazarus) 조직이 해당 공격의 배후 세력으로 지목되었습니다. 각 조직은 국내 특정 분야를 대상 삼아 은밀하게 사이버 위협 행위에 가담하고 있어 그 이면에 어떤 목적을 가진 것인지 의심스러운 상황입니다. 4월 현재까지 두 조직의 주요 활동 무대는 한국의 외교·안보·국방·통일 분야이며, 일부 방위산업이나 군사전문가들도 표적에 노출되는 것으로 관측됩니다. 공격은 주로 악성 DOC 문서를 이메일에 첨부..

악성코드 분석 리포트 2021. 4. 20. 10:33

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 최근 탈륨(Thallium) 조직 소행으로 분석된 이메일 해킹 공격이 발견돼, 사용자의 각별한 주의가 필요합니다. 새롭게 발견된 이번 APT 공격은 마치 통일부 이메일처럼 발신지를 정교하고 교묘하게 조작한 수법이 특징이며, 보낸 이에 '통일부 ' 주소가 포함돼 사용자가 실제 통일부에서 보낸 것으로 착각할 가능성이 매우 높습니다. 공격자는 발신지 주소가 통일부 도메인처럼 보이도록 조작하기 위해 별도의 이메일 서버를 구축한 것으로 분석됩니다. 이메일 본문에는 통일부에서 발행한 것처럼 표현된 문서 첫 장의 이미지가 삽입되어 있고, 이미지 하단에는 통일연구원(KINU) 문서가 첨부되어 있는 것처럼 URL 링크가 삽입돼 클릭을 유도합니다. 얼핏 보기에..

악성코드 분석 리포트 2021. 2. 24. 13:57

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 이번 글에서는 최근 발견된 탈륨 조직 배후의 악성 HWP 문서파일 분석 내용을 기술하고, 어떤 위협사례와 유사한지 소개해 보고자 합니다. 해당 악성 문서는 다음과 같은 정보을 가지고 있으며, 마지막 수정날짜 기준으로 보면 2020년 11월 경 제작됐습니다. · 파일 이름 : 신종_코로나바이러스_관련_소상공인_지원_종합안내.hwp · 크기 : 91,648 바이트 · 작성자 : MSS · 마지막 수정자 : DefaultAccounts · 마지막 수정날짜 : 2020-11-25 02:20:12 (UTC) 먼저 HWP 내부 구조를 살펴보면, BinData 위치에 3개의 OLE 오브젝트가 포함된 것을 확인할 수 있고, 2개의 png 이미지 파일이 존재..

악성코드 분석 리포트 2021. 2. 17. 00:40

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 이메일에 악성 파일을 첨부해 감염을 유도하는 전형적인 스피어 피싱(Spear Phishing) 수법의 악성 DOCX 문서파일 2개가 발견됐습니다. 이번 공격에는 2가지 종류의 악성 문서 파일이 포착됐는데, 기능적으로는 동일한 형태로 분석됐습니다. ● 2021-0112 종합 당대회평가.docx ● 당대회 결론.docx 각 문서 파일은 서로 다른 내용을 담고 있지만, 위협 요소적인 측면으로 보면 같은 동작과 기능을 수행하게 됩니다. 문서가 처음 실행되면 다음과 같이 워드(docx) 내부 'settings.xml.rels' 코드에 선언된 'attachedTemplate' 타깃 주소를 호출합니다. 이때 사용된 호스트 서버 주소는 'reform-oue..

악성코드 분석 리포트 2021. 2. 8. 21:17