안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 ‘탈륨’ 또는 ‘김수키’ 등의 이름으로 널리 알려진 北 연계 해킹 조직 소행으로 지목된 APT(지능형지속위협) 공격이 국내에서 연이어 발견되고 있어 각별한 주의가 필요합니다. 이번에 새롭게 발견된 APT 공격은 통일부를 사칭한 이메일 공격과 통일연구원을 사칭한 이메일 해킹 공격 유형 등입니다. 먼저 통일부 사칭 공격은 지난 06월 22일 수행됐고, 통일연구원을 사칭한 공격은 24일 포착됐습니다. 두 공격 모두 거의 동일한 시기에 ‘북한의 당 중앙위원회 제8기 제3차 전원회의 분석’ 주제와 관련된 내용처럼 수신자를 현혹하는 공통점이 발견됐습니다. 특히, 수신자들이 해당 이메일을 해킹 공격으로 의심하지 않도록 각 발신지 주소를 실제 통일..

악성코드 분석 리포트 2021. 6. 25. 14:30

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 정부차원의 사이버 위협 조직을 분류하는데는 많은 자료 수집과 오랜기간의 연구조사가 필요하며, 위협 행위자가 활용한 거점 인프라와 각종 지표기반의 근거 데이터 확보가 우선시 되어야 합니다. ESRC 연구원들은 코니(Konni) 조직과 탈륨(Thallium, aka Kimsuky) 조직의 연관관계를 여러 차례 기술한 바 있고, 최근에는 탈륨 조직명으로 통합분류한 '탈륨 조직, 북한경제분야 활동 러시아 연구원 상대로 정교한 사이버 공격 수행 (2021. 02. 01)' 내용도 공개한 바 있습니다. ▷ [스페셜 리포트] 탈륨(김수키)과 코니 APT 그룹의 연관관계 분석 Part3 (2020. 11. 22) ▷ 코니(Konni) APT 조직, 안드로이..

악성코드 분석 리포트 2021. 2. 3. 17:44

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 한해 대한민국은 다양한 사이버 침해사고를 당했고, 아직도 크게 나아지진 않았습니다. 북한, 중국 등이 배후로 의심되거나 실제 연계된 것으로 조사된 정부차원의 사이버 안보 위협은 이제 일상화 됐다해도 전혀 과언이 아닙니다. 이런 위협은 한국의 발전된 인터넷 인프라와 함께 우리 실생활 가깝게 도사리고 있지만, 사이버 공간의 특성상 쉽게 인지하거나 체감할 수 없습니다. 따라서 평소 보안의 중요성과 경각심을 유지하는건 어찌보면 어려운 것이 당연합니다. 해당 유형의 초기 침해사고는 내부 기밀자료 탈취 목표로 주로 정부나 공공기관, 기반시설에 집중된 경향이 있었지만 지금은 각종 민간단체와 특정기업을 넘어 불특정 다수의 국민들까지 위협에 노출되..

악성코드 분석 리포트 2020. 11. 22. 17:32

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 저희는 국내 통일분야 기관을 사칭해 수행되는 이른바 '페이크 스트라이커(Fake Striker) 위협 캠페인' 배후가 작년 말 미국 법원에 고소장이 제출된 탈륨 조직과 직간접 연계 가능성이 높다고 판단 중입니다. 이들은 현재도 활발한 사이버 위협활동 모습을 보이고 있으며, 한국내 주요 기관이나 학회 관계자 등으로 위장해 공격을 집중하고 있습니다. 특히 국내에서 많이 이용하는 hwp, doc 등의 문서 파일 내부에 악의적 코드를 삽입한 후, 감염 대상자 별 이메일로 직접 전달하는 수법을 사용하고 있습니다. 따라서 업무상 특별히 보안이 중요하신 분들은 이메일 접근에 각별한 주의가 요구됩니다. 지인 사이라도 평소 자주 연락이 없었거나 사전에 통보 ..

악성코드 분석 리포트 2020. 7. 25. 10:20

▶ 위협 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 미국 마이크로소프트(MS)사는 작년 12월 말, 해킹 그룹인 ‘탈륨(Thallium)’을 고소하고, 그들이 악용한 웹 사이트 도메인을 통제했다고 전한 바 있습니다. Microsoft takes court action against fourth nation-state cybercrime grouphttps://blogs.microsoft.com/on-the-issues/2019/12/30/microsoft-court-action-against-nation-state-cybercrime/ 특정 정부와 연계된 것으로 알려진 탈륨이라는 해킹 그룹명은 김수키라는 조직명으로도 널리 알려져 있습니다. 이들 조직은 최근까지도 'Windows ..

악성코드 분석 리포트 2020. 6. 30. 09:09

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 06월 19일 새벽, 대한민국 청와대 보안 이메일 파일을 사칭한 APT(지능형지속위협) 공격용 악성파일 변종이 다수 발견되었습니다. 악성파일은 청와대 로고 이미지 아이콘을 가지고 있으며, 변종 악성코드에 따라 제작된 날짜(Time Stamp)가 조금씩 다릅니다. 가장 최근에 제작된 날짜는 한국시간(KST) 기준으로 2020년 06월 19일 12시 44분 47초 입니다. ESRC는 해당 악성파일을 긴급 분석한 결과 특정 정부와 연계된 것으로 알려진 이른바 '탈륨(Thallium) 또는 김수키(Kimsuky)' 조직의 '블루 에스티메이트' 위협 캠페인의 연장선으로 확인했습니다. '블루 에스티메이트' APT 캠페인은 지난 2019년 12..

악성코드 분석 리포트 2020. 6. 19. 08:21

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 특정 정부가 배후에 가담한 것으로 알려져 있는 김수키(Kimsuky) APT 그룹이 최근 탈북민 관련 정보를 담은 문서로 공격한 정황이 포착되었습니다. 이 공격은 지난 05월 29일 자유아시아방송을 통해 알려진 'DC 북인권단체에 북한 추정 사이버 공격 잇따라 포착' 내용과 연결되고 있습니다. ESRC는 이번 사례를 분석하면서 매우 흥미로운 특성을 발견했습니다. 금번 공격에 사용된 악성 MS 워드(.doc) 문서파일이 라자루스(Lazarus) APT 그룹이 과거에 수차례 사용한 바 있는 VBA 매크로 코드 방식을 도입했다는 것입니다. 물론, 이러한 공격에는 자동화된 위협도구가 공유되어 사용될 수도 있지만, 반대로 의도를 가진 거짓표식(False..

악성코드 분석 리포트 2020. 6. 11. 13:46

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 특정 정부와 연계된 것으로 알려진 김수키(Kimsuky) 조직의 새로운 '스모크 스크린(Smoke Screen)' APT 캠페인 공격이 등장했습니다. 이들 조직은 최근 마이크로소프트사의 doc 문서파일 형식으로 주로 공격을 수행했는데, 예전처럼 한컴사의 hwp 문서 형식과 exe 실행 파일까지 복합적으로 사용하고 있는 것이 확인 되었습니다. 공격자들은 스피어 피싱(Spear Phishing) 대상에 따라 공격형식을 다중으로 사용하는 위협전술을 수행하고 있습니다. 또한, 문서파일 형식이 아닌 보안 프로그램처럼 위장한 exe 실행파일을 그대로 사용하기도 합니다. 1. doc 문서 포맷을 이용한 공격 사례 분석 [그림 1] DOC 문서를 이용한 공격..

악성코드 분석 리포트 2020. 6. 2. 18:48