Posted By yeeun , 2023년 6월 16일

한글 문서 파일을 위장한 악성코드(Kimsuky)

AhnLab Security Emergency response Center(ASEC)에서는 CHM, OneNote 등의 파일 형식으로 유포되던 악성코드가 최근 실행 파일 형식으로 유포되는 것을 확인하였다. 악성코드에서 사용된 단어 및 실행되는 스크립트 코드가 이전에 분석한 코드와 유사한 것으로 보아 동일한 공격 그룹(Kimsuky)에서 제작한 것으로 추정된다.

Kimsuky 그룹 유포 악성코드 분석 보고서 – 2022.10.20
사례비 지급 내용으로 위장한 OneNote 악성코드 (Kimsuky) – 2023.03.20
대북 관련 질문지를 위장한 CHM 악성코드 (Kimsuky) – 2023.03.08
다양한 주제의 보도자료를 사칭한 Kimsuky 공격시도 – 2022.05.18
대북관련 원고 요구사항을 가장한 APT 공격시도 (Kimsuky) – 2022.02.14

확인된 악성코드는 압축파일 형태로 유포되며 내부에 readme.txt와 함께 한글 문서 확장자로 위장한 실행 파일이 존재한다.

readme.txt 파일에는 아래와 같이 악성 EXE 파일(개인정보유출내역.hwp.exe)의 실행을 유도하는 문구가 포함되어 있다. 악성 EXE 파일은 닷넷(.NET)으로 컴파일되었으며 한글 문서 아이콘을 사용하여 문서 파일처럼 보이도록 위장하였다. 또한, 확장자가 제대로 보이지 않도록 파일명에 공백을 다수 삽입하였다.

위 EXE 파일 내부에는 Base64로 인코딩된 파워쉘 명령어가 존재한다. 따라서 파일 실행 시 이를 디코딩하여 %APPDATA% 폴더에 update.vbs 파일로 저장하고 파워쉘을 통해 생성한 update.vbs 파일을 실행한다.

이후 아래와 같이 메시지 박스를 생성하여 사용자로 하여금 악성 행위가 수행되는 것을 알아차리기 어렵게 한다. 메시지 내용에는 아래와 [그림4]와 같이 북한어(‘오유(오류)’, ‘되였습니다(되었습니다)’)를 사용하고 있음을 알 수 있다.

생성된 update.vbs 파일에는 난독화된 명령어가 존재한다. 이를 디코딩하면 hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=1 에서 추가 스크립트를 다운로드 및 실행하는 코드가 확인된다.

위 URL에 존재하는 스크립트 뿐만 아니라 이후 실행되는 스크립트는 모두 <Kimsuky 그룹 유포 악성코드 분석 보고서>에서 확인된 내용과 동일하게 사용자 정보 유출, 키로깅 등의 기능을 수행한다. 확인된 URL 및 생성되는 파일의 기능은 아래와 같다.

URL 및 파일명	기능
update.vbs	– 특정 레지스트리 변경 – hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=1 스크립트 실행
hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=1	– 특정 레지스트리 변경 – OfficeAppManifest_v[분]_[시]_[일][월].xml 생성 및 서비스 등록 – hxxp://well-story.co[.]kr/adm/inc/js/lib.php?idx=1 스크립트 실행
OfficeAppManifest_v[분]_[시]_[일][월].xml	– hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=6 스크립트 실행
hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=6	– hxxp://well-story.co[.]kr/adm/inc/js/lib.php?idx=5 스크립트 실행
hxxp://well-story.co[.]kr/adm/inc/js/lib.php?idx=5	– Keylogger – hxxp://well-story.co[.]kr/adm/inc/js/show.php 로 키로깅 데이터 전송
hxxp://well-story.co[.]kr/adm/inc/js/lib.php?idx=1	– 사용자 PC 정보 수집 – hxxp://well-story.co[.]kr/adm/inc/js/show.php 로 수집된 전송

표 1. 특정 URL에서 확인되는 스크립트와 생성되는 파일의 기능

이때 수집되는 정보 역시 위 보고서에 작성된 내용과 동일하다.

그림 6. <Kimsuky 그룹 유포 악성코드 분석 보고서>에서 확인된 유출 정보 목록

해당 유형의 악성코드에 대한 유포가 지속적으로 확인되고 있는 만큼 사용자의 각별한 주의가 필요하다. 사용자는 메일의 첨부파일 실행 시 확장자를 반드시 확인하고 알 수 없는 사용자로부터 공유 받은 파일의 실행을 자제해야한다.

[파일 진단]

Dropper/Win.Agent.C5441936 (2023.06.16.02)
Trojan/VBS.Kimsuky (2023.03.21.03)
Trojan/PowerShell.Obfuscated (2023.03.14.00)
Trojan/PowerShell.KeyLogger (2023.05.09.00)

[행위 진단]
Execution/MDP.Powershell.M4646
Execution/MDP.Powershell.M11164(MDS)
Execution/EDR.Powershell.M11156(EDR)

[IOC]

MD5
8133c5f663f89b01b30a052749b5a988 (exe)
91029801f6f3a415392ccfee8226be67 (script)
73174c9d586531153a5793d050a394a8 (script)
f05991652398406655a6a5eebe3e5f3a (script)
ec1b518541228072eb75463ce15c7bce (script)

URL
hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=1
hxxp://well-story.co[.]kr/adm/inc/js/list.php?query=6
hxxp://well-story.co[.]kr/adm/inc/js/lib.php?idx=1
hxxp://well-story.co[.]kr/adm/inc/js/lib.php?idx=5
hxxp://well-story.co[.]kr/adm/inc/js/show.php

연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.