■ '금성121' 스테가노그래피 결합 멀티플랫폼 공격 안녕하세요?이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 탈북민 지원 분야 대상자를 겨냥한 것으로 추정되는 복합적 APT공격이 국내에서 포착되었습니다. 이번 공격의 특징은 윈도우즈(Windows) 운영체제 및 안드로이드(Android) 스마트폰을 동시에 퓨전으로 노렸다는 점이며, ESRC는 위협배후에 '금성121(Geumseong121)' 해킹그룹이 조직적으로 가담 중임을 확신하고 있습니다. 특히, 공격자는 JPG 이미지 파일로 위장해 악성코드를 은밀하게 삽입하는 이른바 '스테가노그래피(Steganography)' 기법을 활용했습니다. ■ 갈수록 교묘해지는 스피어 피싱(Spear Phishing) 공격 기법 공격자는 악성코드를 타깃에게 전..

악성코드 분석 리포트 2019. 8. 5. 11:47

■ 라자루스 위장술 처음 도입된 '오퍼레이션 이미테이션 게임' 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 특정 국가차원의 명령을 받아 은밀하게 진행되는 APT(지능형지속위협) 캠페인이 다양하게 발견되고 있는 가운데, 매우 흥미로운 스피어 피싱(Spear Phishing) 공격 사례를 포착하였습니다. ESRC는 한국을 주요 공격대상으로 삼고 있는 APT 위협배후 중 '금성121(Geumseong121)' 조직이 마치 '라자루스(Lazarus)' 조직인 것처럼 위장한 교란 전술(False Flag) 흔적을 식별했습니다. 정부후원을 받는 각기 구분된 2개의 유명 해킹조직 '라자루스', '금성121'을 관찰하던 중 '금성121' 조직에서 상대 그룹 전술을 차용해 조작한 사례를 발견했..

악성코드 분석 리포트 2019. 8. 3. 00:18

안녕하세요?이스트시큐리티 시큐리티 대응센터(이하 ESRC)입니다. 2019년 7월 30일, 국내 DRM/문서보안업체의 유효한 디지털서명이 탑재된 악성코드가 URL을 통해 유포되고 있는 것이 확인되어 주의가 필요합니다. 이번에 포착된 악성코드의 경우, 일단 감염이 이뤄지게 되면 스케쥴러에 Jav Maintenance64라는 이름으로 자기자신을 등록하고 매일 주기적으로 재실행이 이뤄지도록 설정하는 봇을 설치합니다. 공격자는 봇에 감염된 PC에 임의의 추가 악성행위를 수행할 수 있게 됩니다. 이번 악성코드는 국내 보안업체의 디지털서명을 악용한 것이 가장 주목할 만한 부분이라고 할 수 있습니다. 디지털서명이 있는 모듈은 일반적으로 해당업체의 서명이 포함된 위변조되지 않은 무결성을 가진 프로그램이라고 인식하기 때..

악성코드 분석 리포트 2019. 7. 30. 18:55

암호화폐 거래소 회원 겨냥한 해킹 이메일 공격 지속… ‘라자루스’ 조직 소행 추정 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. ESRC는 19일, 국내 특정 암호화폐 거래소 회원들을 대상으로 한 이메일 해킹 공격 시도가 지속적으로 포착되고 있음을 발견했습니다. [그림 1] 스피어 피싱 공격에 사용된 이메일 화면 File Name MD5 제복인 경찰대학 예상 문제 3회.hwp c577849fed8f815ffb53163976aca001 회장님 개명.hwp cadd2b04166499db6065128f4dc97c39 중고폰매각 공고문_19년 7차.hwp 7d1d7ffee0e2f2778dc6e941bcafbd08 이 이메일 해킹 공격은 지난 6월 경부터 국내에서 지속적으로 발생하고 있으며, ..

악성코드 분석 리포트 2019. 7. 19. 11:49

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 2019년 07월 12일, 정부 지원을 받는 해킹 조직으로 널리 알려진 이른바 '라자루스(Lazarus)' APT 조직이 HWP 취약점 문서 파일을 활용해 공격을 수행한 정황이 포착되었습니다. [그림 1] HWP 취약점 문서 파일 전반적으로 지난 6월 20일에 라자루스(Lazarus) APT 조직에 의해 수행된 '오퍼레이션 무비 코인'과 유사도가 높습니다. ▶ 라자루스(Lazarus) APT 그룹, 암호화폐 투자계약서 사칭 무비 코인 작전 (2019.06.20) '시스템 포팅 명세서.hwp' 파일명으로 발견된 악성 파일은 07월 11일 오전 11시 20분경 제작된 것으로 추정되며, 고스트 스크립트 모듈의 취약점으로 쉘코드에서 동작해서 봇..

악성코드 분석 리포트 2019. 7. 12. 16:04

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 한국을 공격 대상으로 활동하는 대표적인 APT 그룹인, 라자루스(Lazarus), 김수키(Kimsuky), 금성121(Geumseong121) 조직의 움직임이 최근 연속적으로 발생하고 있습니다. 금일, '금성121' 조직이 정치·통일·안보 관련 분야를 겨냥한 공격이 포착된 것에 이어 '라자루스' 그룹으로 분류된 APT 캠페인도 식별되었습니다. '라자루스' 시리즈로 수행된 공격은 얼마전 있었던 【라자루스(Lazarus) APT 조직, 텔레그램 메신저로 '진실겜.xls' 악성 파일 공격】 사례와 마찬가지로 암호화폐 거래 관계자를 노렸습니다. 이번 공격은 2019년 06월 27일 오전 10시경부터 여러 사람들에게 유포되었고, 일부는 과거 특정 ..

악성코드 분석 리포트 2019. 7. 2. 21:59

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2019년 06월 27일, 암호화폐 ELYSIA 토큰세일 이벤트 당첨자 안내로 위장한 APT 공격이 포착되었습니다. 이번 공격은 지난 달 28일 발생했던 한국 유명 암호화폐 거래소 이벤트 경품 수령 안내와 동일한 방식이 사용되었고, 공격 배후에 이른바 김수키(Kimsuky) 조직이 있는 것으로 조사되었습니다. ESRC에서는 05월 28일에 '김수키 조직, 한국 암호화폐 거래소 이벤트 사칭 APT 공격 발생' 제목으로 관련 내용을 공개한 바 있습니다. 그리고 '김수키 조직, 사이버 안전국 암호화폐 민원안내로 사칭해 APT 공격 수행' 내용도 이어집니다. 새롭게 발견된 사례도 이벤트 당첨자 안내로 사칭한 패턴과 악성 HWP 문서를 활용했습니다..

악성코드 분석 리포트 2019. 6. 27. 11:55

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2019년 06월 14일 제17기 북한선교학교 신청서 문서로 위장한 APT 공격 정황이 포착되었습니다. ESRC에서는 해당 공격이 특정 정부의 후원을 받는 해킹조직 '금성121' 소행으로 분석을 완료한 상태입니다. File Name MD5 **_제17기 북한선교학교 신청서.hwp (이름 * 표시) eb4384dbdac5f5177533714551bf16e2 해당 문서는 2019년 06월 12일에 마지막으로 수정되었으며, 작성자와 마지막 수정이는 다음과 같습니다. 'User1' 계정은 '금성121' 조직의 APT 공격에서 여러차례 식별된 바 있습니다. Author Last Saved By 네이버 한글캠페인 User1 - 금성121 조직, 학술..

악성코드 분석 리포트 2019. 6. 15. 02:07