안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 최근 미국 바이든 행정부 출범 기획 설문지로 위장한 해킹 공격이 수행중인 것으로 확인되어 각별한 주의가 필요합니다. 해당 공격 배후로는 국제사회에 북한 정부가 연계된 것으로 알려진 해킹 조직 ‘탈륨(Thallium)’이 지목되었으며, 해당 그룹은 2021년에도 가장 활발하게 공격을 수행 중인 지능형지속위협(APT) 그룹 중 하나입니다. 2019년말 미국 마이크로소프트(MS)로부터 정식 고소를 당하며 국제 사회에 주목을 받은 해킹 조직으로, 김수키(Kimsuky)라는 별칭도 가지고 있는 탈륨 조직은 한국과 미국 등을 포함해 글로벌 위협 활동을 펼치고 있으며, 대북 분야 민간단체나 정치·외교·안보·통일·국방 전현직 관계자를 대상으로 광범위한 사이버..

악성코드 분석 리포트 2021. 1. 18. 15:14

안녕하세요. 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 최근 ‘탈륨’과 ‘금성121'등 북한 연계 조직의 소행으로 추정되는 APT 공격이 연이어 발견되고 있어 주의가 필요합니다. 이번에 새롭게 발견된 APT 공격은 통일부 사칭 악성 이메일 공격과 평화 통일 관련 이야기 공모전 신청서를 사칭한 악성 HWP 문서 공격입니다. [그림] 통일부 자료 사칭 이메일과 통일 관련 공모전 신청서 사칭 HWP 파일 먼저 통일부 사칭 공격은 악성 문서 파일을 첨부한 이메일을 발송해 수신자가 파일을 열어보도록 현혹하는 전형적인 스피어피싱 공격처럼 보이지만 실제로는 첨부파일이 아닌 악성 링크를 활용한 공격입니다. 공격자가 발송한 이메일 본문에는 통일부에서 정식 발행한 것처럼 정교하게 조작된 문서 첫 장의 이미지가 삽입되..

악성코드 분석 리포트 2020. 12. 9. 13:41

Russia-linked APT Turla used a new malware toolset named Crutch 러시아와 연계된 APT 그룹인 Turla가 이전에 발견되지 않았던 악성코드 툴셋인 ’Crutch’를 사용해 유럽 연합 국가의 외무부를 포함한 고 가치 타깃을 노린 것으로 나타났습니다. Turla APT 그룹(Snake, Uroburos, Waterbug, Venomous Bear, KRYPTON으로도 알려짐)은 최소 2007년부터 활동해 왔으며 중동, 아시아, 유럽, 북미, 남미, 구 소련 국가의 외교 및 정부 기관, 민간 기업을 노린 것으로 알려졌습니다. Crutch 프레임워크는 2015년부터 공격에 사용되어 민감 데이터를 훔쳐 러시아 해킹 그룹이 관리하는 Dropbox 계정으로 전송되었습..

국내외 보안동향 2020. 12. 3. 09:09

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2019년 말 미국 마이크로소프트(MS)사가 고소하면서 알려진 북한 연계 해킹그룹 ‘탈륨(Thallium)’의 새로운 지능형지속위협(APT) 공격 징후가 포착됐습니다. 탈륨은 일명 김수키(Kimsuky)라는 이름으로도 알려져 있습니다. ESRC는 11월에 제작된 신규 악성파일이 지난 2019년 12월 04일 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 제목의 【블루 에스티메이트(Blue Estimate)】 APT 캠페인 시리즈로 확인했습니다. 현재 위협 행위자는 한국 과학기술연구, 방위산업 등 멀티 APT 공격을 수행 중입니다. 이들은 다양한 분야에 대한 사이버 위협활동을 지속하고 있으며, 그 활성도가 매우 높은 상태..

악성코드 분석 리포트 2020. 11. 12. 01:48

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다.저희는 07월과 09월에 다음과 같은 탈륨 조직관련 포스팅을 공개한 바 있습니다. ▲ [스페셜 리포트] 미국 MS가 고소한 탈륨 그룹, 대한민국 상대로 '페이크 스트라이커' APT 캠페인 위협 고조 (2020-07-25)▲ 탈륨 조직, 개성공단 근무자 연구와 아태 연구 논문 투고로 사칭한 APT 공격 주의 (2020-09-03) 탈륨 조직의 지능형지속위협(APT) 공격이 여전히 지속되고 있으며, 지금도 활성도가 높은 상태입니다.최근 추가로 발견된 몇가지 사례를 살펴보고, 이들이 사용하는 공격기법을 알아보고자 합니다. ◇ 악성 DOC 문서 제작자가 사용한 계정 'like' 그리고... ESRC에서는 9월 중순부터 10월 초까지 탈륨 조직의 위협활..

악성코드 분석 리포트 2020. 10. 13. 22:09

New Python-scripted trojan malware targets fintech companies 이메일 주소, 비밀번호, 기타 민감 정보를 훔치기 위해 핀테크(FinTech) 기업을 노리는 캠페인을 통해 새로운 트로이목마 악성코드가 배포된 것으로 나타났습니다. 이 악성코드는 정식 애플리케이션에서 추출한 코드 내부에 포함된 상태로 확산되고 있었습니다. Evilnum으로도 알려진 이 APT 그룹은 2018년 처음 등장했으며 대부분 유럽과 영국에 위치한 핀테크 기업을 노리며 도구와 전략을 수시로 변경해 공격의 성공률을 높였습니다. 일부 피해자는 미국과 호주에서 발생하였습니다. Evilnum의 활동은 자바스크립트, C#로 작성된 다양한 컴포넌트를 사용해왔으며, 현재는 공격을 위한 새로운 도구를 배포..

국내외 보안동향 2020. 9. 4. 09:00

◇ 탈륨(Thallium) 해킹 조직 위협 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 저희는 2020년 07월 25일 【미국 MS가 고소한 탈륨 그룹, 대한민국 상대로 '페이크 스트라이커' APT 캠페인 위협 고조】라는 스페셜 리포트를 공개한 바 있습니다. 미국 현지 시점으로 지난 08월 26일 마이크로소프트(MS)사는 '탈륨' 해킹조직에 대해 피고인이 출정하지 않은 공석상태에서 진행하는 궐석재판을 요청하였고, 이들이 사용한 이메일 주소에 수차례 소환장을 보냈다고 밝혔습니다. 흥미롭게도 해당 이메일 중 일부는 MS 고소장 공개 이전 시점에 소개한 알약 블로그 분석내용의 계정과 정확히 일치합니다. 탈륨 이메일 주소 블로그 연관 정보 bitcoin024@hanmail.net bitc..

악성코드 분석 리포트 2020. 9. 3. 09:58

▶ 변칙적 워터링 홀 공격 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 특정 정부가 연계된 것으로 알려진 '금성121(Geumseong121)' 공격 그룹이 새로운 방식을 도입해 지능형지속위협(APT)공격을 수행하고 있어 각별한 주의가 요구됩니다. ESRC는 지난 2020년 5월 19일, 【금성121 조직, 국회 사무처 사칭으로 APT 공격 수행】 포스팅을 공개한 바 있습니다. 이외에도 【통일 정책분야 연구원으로 사칭한 ‘금성121’ APT 공격 주의】 내용 등으로 이들 그룹의 활발한 위협 인텔리전스 정보를 지속적으로 공유하고 있습니다. 한편 이번에 분석된 사례는 마치 워터링 홀(Watering Hole) 공격처럼 타깃 분야 웹 사이트에 접속한 사람들만 악성파일에 노출되도록 수행 중..

악성코드 분석 리포트 2020. 6. 5. 15:39