·         LNK 바로가기 유형의 악성파일

·         AutoIT 스크립트

·         정부기관을 사칭한 스피어 피싱

·         회신 유도형 공격 전략

·         비실행파일형 악성코드 활용

·         Innorix Agent[2]

·         Cross EX[3]

·         ThreatNeedle

·         wAgent

·         Agamemnon 다운로더

·         SIGNBT

·         COPPERHEDGE

·         워터링 홀

·         Cross Ex의 취약점 악용

·         메모리 내 악성코드 실행

·         Innorix Agent를 이용한 측면 이동

·         최소 6개 대한민국 조직 침해

·         데이터 유출 및 시스템 침해 가능성

·         대한민국 온라인 환경의 특수성을 활용한 공격

·         Lazarus 그룹은 대한민국의 소프트웨어 생태계를 깊이 이해하고 있으며, 이를 악용한 공급망 공격을 수행

·         과거 Bookcode(2020), DeathNote(2022), SIGNBT(2023) 캠페인과 유사한 전략 사용

·         Fortinet 방화벽 및 VPN 장비의 취약점을 악용하여 초기 접근 시도

·         인증되지 않은 WebSocket 엔드포인트를 통한 CLI 명령 실행

·         CVE-2024-23108 : Fortinet 취약점

·         CVE-2024-23109​ : Fortinet 취약점

·         KeyPlug 백도어

·         1.py: Fortinet 장비 탐지 및 버전 식별​

·         ws_test.py: WebSocket CLI 취약점 악용​

·         bx.php: 암호화된 페이로드를 메모리에서 복호화 및 실행하는 PHP 웹셸

·         fscan: 포트 스캐닝 및 서비스 열거 도구

·         인증되지 않은 WebSocket 엔드포인트를 통한 명령 실행​

·         AES 및 XOR 암호화를 이용한 페이로드 은닉​

·         네트워크 정찰 및 내부 포털 탐색

·         시세이도 관련 약 100개의 도메인 정보 수집​

·         내부 시스템 및 인증 포털에 대한 정찰 활동

·         Berkeley Packet Filter(BPF)를 활용한 패킷 필터링

·         ‘magic sequence’를 포함한 네트워크 패킷을 통한 백도어 활성화

·         포트 리스닝 없이 프로세스 이름 변경을 통한 은폐

·         TCP, UDP, ICMP 프로토콜을 통한 통신

·         암호 인증 및 암호화된 연결을 통한 제어

·         시스템 내 장기적인 은폐

·         리버스 셸을 통한 네트워크 내 횡적 이동

·         민감한 데이터 접근 및 추가 시스템 제어

·         BPFDoor는 국가 지원 사이버 스파이 활동을 위해 설계된 백도어로, BPF를 활용하여 방화벽을 우회하고 은밀하게 통신

·         리버스 셸을 열어 감염된 네트워크 내에서 위협 행위자의 접근을 확대