2024년 09월 APT 공격 동향 보고서(국내)

본 보고서는 2024년 9월 한 달 동안 확인된 APT 국내 공격에 대한 분류 및 통계를 다루며, 유형별 기능을 소개한다. 아래는 일부의 내용을 요약한 정보이다.

 

[목차]
 

목차 개요 APT 국내 공격 동향  1) Spear Phishing  1.1 LNK 를 활용한 공격 1.2 HWP 를 활용한 공격 1.3 MSC 를 활용한 공격 1.4 CHM 를 활용한 공격 2) Supply Chain Attack 2.1 EXE 를 활용한 공격 안랩 대응 현황 결론 IoC (Indicators of Compromise) 주요 파일 이름 파일 Hashes (MD5) 관련 도메인, URL 및 IP 주소

개요

안랩은 자사 인프라를 활용하여 국내 타겟의 APT(Advanced Persistent Threat) 공격에 대한 모니터링을 진행하고 있다. 본 보고서에는 2024년 9월 한 달 동안 확인된 APT 국내 공격에 대한 분류 및 통계를 다루며, 유형별 기능을 소개한다.

 

그림 1. 2024년 9월 APT 국내 공격 통계

 

국내 유포가 확인된 APT 공격에 대해서는 침투 유형별로 분류하였으며 대부분 Spear Phishing 유형으로 확인되었다. 2024년 9월에는 침투 유형 중 Spear Phishing을 활용한 HWP 및 MSC 확장자 파일이 다수 확인되었다.
 

 

[APT 국내 공격 동향]

 

2024년 9월에 확인된 APT 국내 공격의 침투 유형별 사례 및 기능은 다음과 같다.

 

1)   Spear Phishing

 

Spear Phishing이란, 특정 개인이나 집단을 대상으로 하는 피싱 공격의 일종이다. 일반적인 피싱과 달리, 공격자는 공격을 수행하기 전 정찰 단계를 통해 공격 대상자에 대한 정보를 수집하고 파악한다. 공격자는 수집된 정보를 활용하여 피싱 이메일을 제작하기 때문에 해당 메일을 수신 받은 사용자는 신뢰할 수 있는 이메일로 판단할 확률이 높다. 또한, 이메일 스푸핑을 통해 발신자 주소를 위조하는 사례도 존재하며, 대다수의 Spear Phishing은 이메일 내 악성 첨부 파일 또는 악성 링크를 포함 후 사용자의 실행을 유도한다.

해당 기법을 활용하여 유포된 유형은 다음과 같다.

 

1.1         LNK를 활용한 공격

 

Type A

 

해당 유형은 RAT 악성코드를 실행하는 유형이다. 주로 압축 파일 형태로 정상 파일과 함께 유포되는 것으로 확인되며, 유포가 확인된 LNK에는 악성 파워쉘 명령어가 포함되어 있다. DropBox API 또는 Google Drive를 활용하여 악성코드를 다운로드하는 방식 외에도 최근 확인된 LNK 파일은 실행 시 TEMP 혹은 PUBLIC 폴더에 추가 스크립트 파일과 난독화된 RAT 악성코드를 생성하는 방식을 사용한다. 최종적으로 실행되는 RAT 악성코드는 키로깅, 화면 캡처 등 공격자의 명령에 따라 다양한 악성 행위를 수행한다. 확인된 RAT 유형으로는 XenoRAT, RoKRAT 등이 있다.

확인된 파일명은 다음과 같다.

 

파일명

le.docx.lnk

표 1. 확인된 파일명

 
Type B

 

해당 유형은 AutoIt 악성코드를 다운로드하는 유형이다. LNK 파일에 포함된 악성 파워쉘 명령어 실행 시 외부 URL에 접속하여 추가 파일을 다운로드한다. 이 과정에서 curl.exe 프로그램을 다른 파일명(VezoQxO.exe 등)으로 복사한 후 실행하는 것이 특징이다. 최종적으로 정상 AutoIt 프로그램과 악성 AutoIt 스크립트가 다운로드 되며 다운로드 된 파일을 작업 스케줄러에 등록하여 지속해서 실행될 수 있도록 한다.

확인된 파일명은 다음과 같다.

 

파일명

2024년 에너지기술개발사업 최종평가위원회 위원 위촉 안내.pdf.lnk

미신고 자금출처명세서(부가가치세법 시행규칙).hwp.lnk

표 2. 확인된 파일명

 

Type C

해당 유형은 ProgramData 폴더에 난독화된 스크립트를 다수 생성하여 백도어 유형의 악성코드를 다운로드하는 유형이다. 생성된 스크립트 파일은 유기적으로 동작하며, .tmp 또는 .dat 확장자를 지니는 것이 특징이다. 스크립트 파일 실행 시 C2에 접속하여 추가 파워쉘 스크립트를 다운로드 및 실행한다. 최종적으로 사용자 PC에 RDP Wrapper를 설치하여 PebbleDash 등 백도어 유형의 악성코드를 다운로드 및 실행한다.

확인된 파일명은 다음과 같다.

 

파일명

Upbit_20240916 docx lnk.lnk

보조금신청 관련문의건.docx.lnk

표 3. 확인된 파일명

 

 

MD5

0709eb988570c2e70a58375681d91e30

08111135bae27c8aafd08457e95b7380

084f2274a4436608905995b7fd9436d9

0c3fd7f45688d5ddb9f0107877ce2fbd

0e7e3a078bb6be89afa6876bb431d903

URL

http[:]//101[.]36[.]114[.]91/asanpolicy[.]lol/MyVirus/d[.]php?na=comline

http[:]//185[.]158[.]113[.]101[:]54333/

http[:]//206[.]206[.]127[.]152[:]7032/

http[:]//216[.]107[.]137[.]73[:]6516/

http[:]//64[.]49[.]14[.]181[:]7031/