안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 미국 내 북한 문제 전문가 포럼인 ‘전미북한위원회(NCNK)’의 코로나19 바이러스 관련 인터뷰 문서로 사칭한 악성 파일이 국내에서 발견되어 각별한 주의가 필요합니다. [그림 1] 전미북한위원회(NCNK) 코로나19 바이러스 인터뷰 위장 문서 내용 악성 DOC 파일은 ‘My Interview on COVID-19 with NCNK.doc’ 이름으로 발견되었으며 지난 05월 26일 제작된 것으로 확인되었습니다. ESRC에서는 해당 공격은 특정 정부가 연계된 것으로 알려진 일명 ‘김수키(Kimsuky)’ 조직이 사용한 APT(지능형지속위협) 공격 기법과 속성이 동일한 것으로 확인했으며 기존에 보고된 바 있는 ‘스모크 스크린(Smoke Screen)’..

악성코드 분석 리포트 2020. 5. 29. 15:00

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 이번 공격은 지난 2019년 12월 04일 공개된 바 있는 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례(블루 에스티메이트 캠페인)의 7번째 변종으로 확인되었습니다. ※ 관련글보기 ▶ 이력서로 위장한 김수키(Kimsuky) 조직의 '블루 에스티메이트 Part5' APT 공격 주의 (2020.03.02)▶ 김수키(Kimsuky) 조직, 실제 주민등록등본 파일로 둔갑한 '블루 에스티메이트 Part3' APT 공격 주의 (2020.02.06)▶ 청와대 행사 견적서 사칭 변종, '블루 에스티메이트 Part 2' (20.01.21)▶ 김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격 (19.12.04) 【오..

악성코드 분석 리포트 2020. 3. 23. 17:03

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 코로나 바이러스 이슈를 악용한 김수키(Kimsuky) 조직의 APT 공격이 또 한번 포착되었습니다. 김수키(Kimsuky) 조직은 2월 28일, 이미 '코로나 바이러스 관련 이사장님 지시사항'이라는 이메일 제목으로 스피어피싱 공격을 진행한 적이 있습니다. 이번에 발견된 악성 파일은 'COVID-19 and North Korea.docx' 파일명으로 유포되었으며, TTPs 등을 분석한 결과, 국내 기업/기관을 대상으로 스피어피싱과 APT 공격을 지속해 오고있는 김수키(Kimsuky) 조직의 '스모크 스크린' 캠페인의 일환으로 추정하고 있습니다. ※ 스모크 스크린 캠페인 관련글 ▶ 김수키(Kimsuky)조직, 비건 미국무부 부장관 서신 내용으로 ..

악성코드 분석 리포트 2020. 3. 21. 09:00

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 지난 02월 26일, '코로나 바이러스 관련 이사장님 지시사항'이라는 이메일 제목으로 악성 DOC MS-Word 문서가 첨부된 스피어 피싱(Spear Phishing) 공격이 포착되었고, 당시 이 공격은 '스모크 스크린(Smoke Screen)' APT(지능형지속위협) 캠페인의 일환으로 분석한 바 있습니다. 한편 2020년 03월 03일, 새로운 공격이 발견되었는데, '비건 미국무부 부장관 서신 20200302.doc' 파일명이 사용되었습니다. ESRC는 해당 악성 문서 파일을 분석한 결과 기존 '스모크 스크린'과 동일한 APT 공격으로 조사를 완료했습니다. 스모크 스크린 사이버 위협에 적용된 전략, 기술, 절차(TTPs:Tactics, Te..

악성코드 분석 리포트 2020. 3. 3. 17:22

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 02월 28일, 이력서 양식 한글문서(hwp)로 위장한 scr파일을 이용한 APT(지능형지속위협) 공격이 등장했습니다. 해당 APT 공격에 이용된 파일의 알약 탐지명은 Trojan.Agent.115608C / Trojan.Agent.Detplock 입니다. 이번 공격은 지난 2019년 12월 04일 공개된 바 있는 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례(블루 에스티메이트 캠페인)의 5번째 변종으로 확인되었습니다. ※ 관련글보기 ▶ 김수키(Kimsuky) 조직, 실제 주민등록등본 파일로 둔갑한 '블루 에스티메이트 Part3' APT 공격 주의 (2020.02.06)▶ 청와대 행사 견적서 사칭 변종,..

악성코드 분석 리포트 2020. 3. 2. 13:04

안녕하세요. ESRC(시큐리티 대응센터) 입니다. 최근 코로나19 바이러스 관련 국내 확진자 수가 1,000명을 돌파하면서 코로나19에 대한 공포감이 확산되는 분위기를 악용하여 악성코드가 포함된 이메일이 유포되고 있어 사용자들의 주의가 필요합니다. 이스트시큐리티 ESRC에서 이미 여러차례 코로나 19 이슈를 악용한 악성코드에 대해 주의를 당부드렸지만, 모두 외국어로 된 이메일들 이었습니다. 그러나, 2월 26일(수)에 한글로 작성된 코로나 19 바이러스 사칭 악성코드가 발견되어 국내 사용자들의 각별한 주의가 필요합니다. 이번 공격은 꾸준히 국내 기업/기관을 대상으로 스피어피싱과 APT 공격을 지속해 오고있는 김수키(Kimsuky) 조직의 소행으로 추정되고 있으며, 기존의 김수키(Kimsuky) 조직 공격..

악성코드 분석 리포트 2020. 2. 28. 13:07

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 02월 06일, 전 ○○ 교육원 관계자의 실제 주민등록등본 PDF 스캔파일처럼 위장한 APT(지능형지속위협) 공격이 등장했습니다. 해당 악성파일의 알약 탐지명은 'Trojan.Dropper.1081856K' 입니다. 이번 공격은 지난 2019년 12월 04일 공개된 바 있는 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례의 3번째 변종으로 확인되었습니다. 【오퍼레이션 블루 에스티메이트 (Operation Blue Estimate)】 파일명 제작날짜 (타임스탬프) MD5 베트남 녹지원 상춘재 행사 견적서.hwp(다수의 공백 포함) .exe 2019-12-02 18:01:05 (KST) 35d60d2723c6..

악성코드 분석 리포트 2020. 2. 6. 23:38

안녕하세요. ESRC 입니다. 2020년 01월 20일, PDF 문서파일을 위장한 악성 EXE 파일이 발견되었습니다. 이 파일은 한국시간으로 1월 17일 오전 9시경 제작한 것으로 확인되었습니다. 파일명 제작 시점 (KST) MD5 오성사 MC2-500 외형도 P1307033 Model_수정.pdf(다수의 공백포함).exe 2020-01-17 09:33:41 da799d16aed24cf4f8ec62d5048afd1a 파일명에는 '오성사 MC2-500 외형도 P1307033 Model_수정.pdf' 라고 되어 있고, 첫번째 확장자는 pdf 문서형식이지만, 다수의 공백을 포함한 2중 확장자로 실제로는 exe 실행파일 형식을 가지고 있습니다. 지난 12월 4일 ESRC에서는 ‘김수키 조직, 청와대 녹지원/상춘..

악성코드 분석 리포트 2020. 1. 21. 10:18