안녕하세요? 이스트시큐리티입니다. 최근 몇 달 사이에 국제 해킹 조직 활동이 눈에 띄게 늘었습니다. 특히 북한과 연계한 것으로 보이는 조직 '탈륨(Thallium)'이 활발하게 움직이고 있습니다. 올해 8월에는 언론사 기자를 대상으로 국내 대형 포털의 피싱 사이트를 제작해 계정을 탈취하려는 시도가 있었고, 같은 달 말에는 대북 분야 종사자를 상대로 국내 대기업의 클라우드 사진 저장 서비스를 사칭해 피싱 이메일을 보내기도 했습니다. 9월 초에는 개성공단 등 학술 연구논문 투고를 사칭해 북한 전문가를 노린 공격을 시도한 바 있으며, 10월 초에는 통일부 북한인권기록센터로 위장해 대북관련 단체를 대상으로 스피어피싱을 시도하기도 했습니다. 불과 지난주에도 미국 대선 결과 및 향후 대북 정책 변화 등을 예상한 언..

전문가 기고 2020. 11. 13. 09:00

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2019년 말 미국 마이크로소프트(MS)사가 고소하면서 알려진 북한 연계 해킹그룹 ‘탈륨(Thallium)’의 새로운 지능형지속위협(APT) 공격 징후가 포착됐습니다. 탈륨은 일명 김수키(Kimsuky)라는 이름으로도 알려져 있습니다. ESRC는 11월에 제작된 신규 악성파일이 지난 2019년 12월 04일 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 제목의 【블루 에스티메이트(Blue Estimate)】 APT 캠페인 시리즈로 확인했습니다. 현재 위협 행위자는 한국 과학기술연구, 방위산업 등 멀티 APT 공격을 수행 중입니다. 이들은 다양한 분야에 대한 사이버 위협활동을 지속하고 있으며, 그 활성도가 매우 높은 상태..

악성코드 분석 리포트 2020. 11. 12. 01:48

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 11월 03일 마치 미국 대선 예측과 관련된 언론사 문건처럼 위장한 악성 HWP 문서 파일이 바이러스 토탈 서비스에 등록된 것이 확인 됐습니다. [그림 1] 바이러스 토탈 구글 서비스에 등록된 악성 파일 화면 해당 악성 파일은 얼마 남지 않은 미국 대선 예측이라는 테마를 시기적절하게 사용했으며, 다음과 같은 형식을 가지고 있습니다. 파일 이름 파일 크기 마지막 저장 계정 마지막 수정 날짜 미국 대선 예측 - 미주중앙일보.hwp 36,352 바이트 Admin 2020-11-01 11:23:35 (KST) 그동안 악성 HWP 문서는 주로 포스트 스크립트(Post Script) 취약점과 셸코드(Shellcode)를 결합한 공격이 상대적으..

악성코드 분석 리포트 2020. 11. 4. 02:37

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 국내 암호화폐 사이트의 계정을 노리는 문자메시지가 발견되어 사이트 사용자들의 주의가 필요합니다. 이번에 발견된 문자메시지는 “고객님계정 해외IP-103.208.220.195에서 로그인되였습니다. 본인이아닐경우에는 해외IP차단해주세요. www.coinoner[.]com” 내용으로 특정 코인 거래 사용자들에게 보내지고 있습니다. 문자메시지를 받은 코인 거래 사용자가 본인의 계정확인을 위해 문자메시지 내에 기재된 링크로 연결할 경우 사용자의 계정과 패스워드를 가로채기 위한 피싱 사이트로 연결됩니다. [그림1] 문자메시지에 기재된 피싱 사이트 화면 피싱 사이트에는 최근 피싱 피해나 암호화폐 거래 대행에 대한 주의사항을 보여줌으로써 사용자들에게 실제 거래 사이..

악성코드 분석 리포트 2020. 10. 21. 11:44

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 지난 08월 10일 구글 플레이 공식 마켓을 통해 안드로이드 기반 악성 암호화폐 지갑 앱(v1.0.4)이 일정기간 유포되었습니다. 이는 정상적인 소프트웨어 배포 절차에 위협요소를 추가 업데이트하는 일종의 공급망 공격 형태 입니다. 이 사건으로 인해 특정 암호화폐 이용자들의 코인이 무단 출금되는 피해가 다수 보고되었습니다. 한편 비슷한 시기 윈도우 운영체제 기반 지갑 설치 프로그램으로 사칭한 악성 파일 변종들도 발견되며, 관련 이슈에 대한 공지문이 다음과 같이 게시됩니다. 08월 31일부터 윈도우용 악성 파일도 유포되었고, 09월 24일에는 공격자가 직접 이메일로 악성 파일을 전파하는 등 공격은 일정 기간 지속되었습니다. 특히, 08월 31일 ..

악성코드 분석 리포트 2020. 10. 16. 20:21

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다.저희는 07월과 09월에 다음과 같은 탈륨 조직관련 포스팅을 공개한 바 있습니다. ▲ [스페셜 리포트] 미국 MS가 고소한 탈륨 그룹, 대한민국 상대로 '페이크 스트라이커' APT 캠페인 위협 고조 (2020-07-25)▲ 탈륨 조직, 개성공단 근무자 연구와 아태 연구 논문 투고로 사칭한 APT 공격 주의 (2020-09-03) 탈륨 조직의 지능형지속위협(APT) 공격이 여전히 지속되고 있으며, 지금도 활성도가 높은 상태입니다.최근 추가로 발견된 몇가지 사례를 살펴보고, 이들이 사용하는 공격기법을 알아보고자 합니다. ◇ 악성 DOC 문서 제작자가 사용한 계정 'like' 그리고... ESRC에서는 9월 중순부터 10월 초까지 탈륨 조직의 위협활..

악성코드 분석 리포트 2020. 10. 13. 22:09

◇ 탈륨(Thallium) 해킹 조직 위협 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 저희는 2020년 07월 25일 【미국 MS가 고소한 탈륨 그룹, 대한민국 상대로 '페이크 스트라이커' APT 캠페인 위협 고조】라는 스페셜 리포트를 공개한 바 있습니다. 미국 현지 시점으로 지난 08월 26일 마이크로소프트(MS)사는 '탈륨' 해킹조직에 대해 피고인이 출정하지 않은 공석상태에서 진행하는 궐석재판을 요청하였고, 이들이 사용한 이메일 주소에 수차례 소환장을 보냈다고 밝혔습니다. 흥미롭게도 해당 이메일 중 일부는 MS 고소장 공개 이전 시점에 소개한 알약 블로그 분석내용의 계정과 정확히 일치합니다. 탈륨 이메일 주소 블로그 연관 정보 bitcoin024@hanmail.net bitc..

악성코드 분석 리포트 2020. 9. 3. 09:58

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 저희는 국내 통일분야 기관을 사칭해 수행되는 이른바 '페이크 스트라이커(Fake Striker) 위협 캠페인' 배후가 작년 말 미국 법원에 고소장이 제출된 탈륨 조직과 직간접 연계 가능성이 높다고 판단 중입니다. 이들은 현재도 활발한 사이버 위협활동 모습을 보이고 있으며, 한국내 주요 기관이나 학회 관계자 등으로 위장해 공격을 집중하고 있습니다. 특히 국내에서 많이 이용하는 hwp, doc 등의 문서 파일 내부에 악의적 코드를 삽입한 후, 감염 대상자 별 이메일로 직접 전달하는 수법을 사용하고 있습니다. 따라서 업무상 특별히 보안이 중요하신 분들은 이메일 접근에 각별한 주의가 요구됩니다. 지인 사이라도 평소 자주 연락이 없었거나 사전에 통보 ..

악성코드 분석 리포트 2020. 7. 25. 10:20