Holy Water targets religious figures and charities in Asia 한 APT 그룹이 워터링 홀 공격인 Holy Water를 통해 주로 종교적 인물과 자선 단체 관련 웹 페이지를 호스팅하는 서버를 해킹한 것으로 나타났습니다. 2019년 12월 4일, 카스퍼스키의 전문가들이 워터링홀 공격인 Holy Water를 발견했습니다. 이는 아시아의 종교 및 인종 집단을 노렸으며 최소 2019년 5월부터 활성화 되었으며 가짜 어도비 플래시 업데이트 경고를 통해 배포되었습니다. 전문가들은 공격자들이 진화해 온 것으로 추정했습니다. 이들은 캠페인에 Sojson 난독화, NSIS 인스톨러, 파이썬, 오픈소스 코드, GitHub 배포, Go 랭귀지, 구글 Drive 기반 C2 채널을 사..

국내외 보안동향 2020. 4. 1. 10:40

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 코로나 바이러스 이슈를 악용한 김수키(Kimsuky) 조직의 APT 공격이 또 한번 포착되었습니다. 김수키(Kimsuky) 조직은 2월 28일, 이미 '코로나 바이러스 관련 이사장님 지시사항'이라는 이메일 제목으로 스피어피싱 공격을 진행한 적이 있습니다. 이번에 발견된 악성 파일은 'COVID-19 and North Korea.docx' 파일명으로 유포되었으며, TTPs 등을 분석한 결과, 국내 기업/기관을 대상으로 스피어피싱과 APT 공격을 지속해 오고있는 김수키(Kimsuky) 조직의 '스모크 스크린' 캠페인의 일환으로 추정하고 있습니다. ※ 스모크 스크린 캠페인 관련글 ▶ 김수키(Kimsuky)조직, 비건 미국무부 부장관 서신 내용으로 ..

악성코드 분석 리포트 2020. 3. 21. 09:00

안녕하세요.이스트시큐리티 ESRC 입니다. '북한 중앙위원회 전원회의', '2020년 동경 패럴림픽' 관련 문서로 위장한 코니(Konni) APT 그룹 스피어피싱 공격이 포착되었습니다. * 코니(Konni) APT 조직 2014년도부터 지금까지 꾸준히 활동을 하고있는 APT 조직으로, 스피어피싱 공격방식을 사용하며, 주로 북한과 관련된 내용이나 현재 사회적으로 화두가 되고 있는 이슈들로 사용자들의 클릭을 유도합니다. 2019년 6월, 이스트시큐리티는 코니(Konni)조직을 추적하는 과정 중 김수키(Kimsuky)조직과 관련된 몇가지 의심스러운 정황들을 포착하였으며, 코니와 김수키 조직이 특별한 관계에 있을 것이라고 추측중에 있습니다. 이번에 발견된 2개의 악성문서는 각각 1월 14일과 15일에 제작된 것..

악성코드 분석 리포트 2020. 1. 16. 16:47

STOLEN PENCIL campaign, hackers target academic institutions. 북한과 관련이 있는 APT 그룹이 적어도 올해 5월부터 교육 기관들을 노리고 있었던 것으로 나타났습니다. 이들은 교육 기관들에 스피어 피싱 공격을 실행했습니다. 이 피싱 메시지에는 사용자들이 악성 구글 크롬 확장 프로그램을 설치하도록 속이려 시도하는 디코이 문서가 있는 웹사이트로의 링크도 포함 되어 있었습니다. STOLEN PENCIL이라 명명 된 이 캠페인의 피해자들 중 상당 수는 다수 대학의 생물 의학 공학 전문가였습니다. 공격자들은 기성 툴을 사용해 지속성을 유지하지만, NetScout에 따르면 이들의 OPSEC은 허술했습니다. “이 공격의 궁극적인 동기는 알 수 없었지만, 공격자들은 크리..

국내외 보안동향 2018. 12. 10. 16:01

New PowerShell-based Backdoor points to MuddyWater Trend Micro의 연구원들이 MuddyWater APT 그룹이 사용한 악성코드와 매우 유사한 PowerShell 기반의 백도어를 발견했습니다. 첫 번째 MuddyWater 캠페인은 2017년 말 발견 되었으며, 이 때 Palo Alto Networks의 연구원들은 중동에서 일어난 수상한 공격들을 조사하고 있었습니다. 전문가들은 사우디 아라비아, 이라크, 이스라엘, 아랍 에미리트, 그루지야, 인도, 파키스탄, 터키 및 미국의 기관들을 노렸으며 2017년 2월~10월 사이에 이루어진 공격의 범인을 찾는데 혼란을 겪어, 이 캠페인을 ‘MuddyWater’라 명명했습니다. 공격자들은 1단계 PowerShell 기반 ..

국내외 보안동향 2018. 12. 3. 10:04

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 특정 정부가 배후에 있는 것으로 알려져 있는 위협그룹 중에 안보·외교·통일 관련 분야의 정보를 노린 조직은 2014년 한국의 특정 전력회사에 대한 사이버 공격으로 널리 알려져 있습니다. ESRC에서는 해당 위협그룹이 최근 다양한 APT 공격을 수행하고 있는 정황을 포착해, 지속적인 관찰을 수행하고 있습니다. 지난 2월 '오퍼레이션 김수키(Kimsuky)의 은밀한 활동, 한국 맞춤형 APT 공격은 현재 진행형'으로 공개된 내용과 5월 "판문점 선언 관련 내용의 문서로 수행된 '작전명 원제로(Operation Onezero)' APT 공격 분석" 내용으로 일부 공개된 바 있습니다. 그리고 이번 최신..

악성코드 분석 리포트 2018. 11. 27. 09:14

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC) 입니다. ESRC에서는 지난 2018년 10월 31일 제작된 최신 APT공격용 악성파일을 다수 발견해 긴급 대응을 완료하였습니다. 이 악성파일들은 한국시간(KST) 기준으로 10월 31일 00시 48분경 부터 13시 15분경 사이에 집중적으로 빌드되었고, 감염 환경에 따라 32비트와 64비트용이 각각 다르게 생성됩니다. 특히, 이 악성파일들은 한국의 특정 보안제품 아이콘으로 위장하고 있으며, 해당 리소스와 그룹 아이콘 등의 언어가 한국어 코드(1042)로 설정되어 있고, 컴퓨터가 감염될 경우 시스템의 주요 정보와 키보드 입력내용, 사용자 계정 등의 민감 자료가 외부로 무단 유출될 수 있습니다. [그림 ..

악성코드 분석 리포트 2018. 11. 2. 01:44

日本など14カ国の大学を狙う大規模攻撃 - 論文DB装うフィッシングで知的財産を標的に 이란이 관련된 것으로 보이는 공격그룹 ‘COBALT DICKENS’이 일본을 비롯하여 여러 국가의 교육기관에 대해서 피싱공격을 전개하고 있다는 사실이 밝혀졌습니다. 최근 보안기업인 Secureworks가 대학의 로그인 페이지를 위장하고 있는 피싱사이트를 확인했으며, 공격에 사용된 IP주소에 대해 조사한 결과 인증정보 탈취를 목적으로 하는 대규모 공격 캠페인이었다고 밝혔습니다. 해당 악성 IP 주소에서 총 16건의 도메인을 악용하며, 이 도메인들은 일본을 비롯한 미국, 캐나다, 영국, 스위스, 터키, 이스라엘, 오스트레일리아, 중국 등 적어도 14개국의 76개 대학, 300개 이상의 사이트를 위장하고 있습니다. 이 피싱 사이트들..

국내외 보안동향 2018. 10. 24. 17:15