안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 얼마전 2019년 03월 20일 "로켓맨 APT 캠페인, 오퍼레이션 골든 버드(Operation Golden Bird)" 리포트를 통해 '금성121(Geumseong121)' 조직이 HWP 문서기반 이력서를 사칭해 수행한 APT 공격 사례를 공개했습니다. 그리고 지난 01월 23일에는 "홀리데이 와이퍼(Operation Holiday Wiper)로 귀환한 로켓맨 APT 캠페인" 제목으로 이들이 XLS 문서파일을 활용한 스피어 피싱(Spear Phishing) 사례와 데이터 삭제 시도 정황도 포착한 바 있습니다. ESRC에서는 이들이 사이버 주무기로 활용한 공격벡터와 휴먼 인텔리전스에 주목하고 있으며, 그동안 알려지지 않았던 몇 가지 공격..

악성코드 분석 리포트 2019. 4. 2. 09:29

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 특정 정부가 배후에 있는 것으로 알려져 있는 위협그룹 중에 '금성121(Geumseong121)' 조직은 글로벌 보안회사들이 다양한 이름으로 명명하고 있습니다. 그중 대표적 그룹명을 알파벳 순으로 나열하면 'APT37', 'Group123', 'RedEyes', 'ScarCruft' 등이 있습니다. 지난 02월 저희는 이 위협그룹이 카카오톡 메신저로 'Flash Player Zero-day (CVE-2018-4878)' 취약점 공격을 수행한 사례를 소개한 바 있으며, 그 이후에도 스피어 피싱(Spear Phishing)을 통해 한국에 집중 표적공격을 수행하고 있다는 것을 확인했습니다. 그리고 0..

악성코드 분석 리포트 2018. 11. 16. 15:45

1. 금성121, 최신 APT 캠페인 '작전명 로켓 맨(Operation Rocket Man)' 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. ESRC에서는 지난 03월 20일 미디어를 통해 대북 단체 및 국방분야를 주요 공격 대상으로 사이버 침투활동을 전개해 온 정부지원 APT 위협그룹 금성121(Geumseong121) 조직이 안드로이드 기반 모바일 스피어 피싱(Spear Phishing)공격까지 수행함을 공개한 바 있습니다. 그리고 07월 04일에는 남북이산가족찾기 전수조사 내용으로 사칭한 스피어피싱 이메일 주의를 안내해 드린 바도 있습니다. [그림 1] 금성121 그룹의 공격 벡터 사례 베일에 쌓여있는 공격자들은 CVE-2018-48..

악성코드 분석 리포트 2018. 8. 22. 21:21

■ 오퍼레이션 김수키의 최신 APT 공격, '작전명 원제로(Operation Onezero)' 배경 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 저희는 지난 02월, 작전명 김수키(Operation Kimsuky)의 활동이 은밀하게 계속되고 있으며, 한국을 대상으로 한 APT(지능형지속위협) 공격이 활성화되어 있음을 알려드린 바 있습니다. ESRC에서는 정부차원의 후원을 받는 공격자(State-sponsored Actor)가 2018년 05월에 수행한 최신 표적형 APT 사례를 확보해 분석하였고, 흥미롭게도 김수키 작전에 사용된 '위협 벡터'(공격자가 침해대상에 사용한 접근수단)와 오버랩된다는 점을 발견했습니다. 해당 위협그룹과 개발코드가..

악성코드 분석 리포트 2018. 5. 28. 21:24

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 2018년 04월 16일 경, 특정 국가지원을 받는 것으로 예상되는 공격자(State-sponsored Actor)가 MS Office 문서 파일 취약점 (CVE-2017-11882)을 활용해 한국인 대상의 스피어 피싱(Spear Phishing) 공격시도 정황을 포착했습니다. ESRC에서는 이 공격자가 '▣오퍼레이션 김수키(Kimsuky)' 캠페인과 연계된 위협 조직으로 판단하고 있습니다. 또한, 유사 변종 악성코드에서는 "전혁진", "김송철" 이라는 한글식 이름이 발견된 바 있습니다. 해당 위협그룹은 대략 2010년부터 2014년 전후로 왕성한 활동을 했습니다. 공격자는 주로 해외 등지에서 외교 및 안보기구 소속으로 활동하는 현지의 ..

악성코드 분석 리포트 2018. 4. 19. 23:16

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 이스트시큐리티 대응센터에서는 오퍼레이션 아라비안나이트를 수행했던 라자루스(Lazarus) 조직이 국내외에서 다양한 작전을 수행하고 있는 것을 확인했습니다. ▶ 오퍼레이션 아라비안 나이트 공격그룹 글로벌 활동 확대 ▶ 오퍼레이션 김수키(Kimsuky)의 은밀한 활동, 한국 맞춤형 APT 공격은 현재 진행형 ▶ 한국 메신저 등을 통해 유포된 Flash Player Zero-Day (CVE-2018-4878) 공격 주의 ▶ 문서파일 취약점을 활용한 파일리스(Fileless) 악성코드의 스텔스 위협 ▶ 3.20 공격 조직의 최신 오퍼레이션 '코인 매니저 (Coin Manager)' ▶ 문서파일 취약점 공격과 한국 가상화폐 거래자 대상 공격간의 연관성 ..

악성코드 분석 리포트 2018. 4. 11. 19:09