시기

·         2025년 11월 – 2026년 2월

공격 대상

·         미국 의료 기관

·         미국 정신건강 분야 비영리 단체

·         자폐 아동 교육 시설

·         미국 민간 기업 3곳

·         중동 지역 조직

초기 침투

·         Medusa 랜섬웨어 배포

·         기존 침투 후 랜섬웨어 전개 시도

·         금전 목적 침투 수행

이용 취약점

·         없음

악성코드 및 도구

·         Medusa : 랜섬웨어로, 랜섬웨어-서비스로 운영

·         Comebacker : 라자루스와 관련된 맞춤형 백도어 및 로더

·         Blindingcan : 라자루스와 관련된 원격 접근 트로이 목마

·         ChromeStealer : 크롬 브라우저에서 저장된 비밀번호 추출 도구

·         Curl : 다양한 네트워크 프로토콜을 사용하는 데이터 전송 도구

·         Infohook : 정보 탈취 악성코드

·         Mimikatz : 공개된 자격 증명 덤프 도구

·         RP_Proxy : 맞춤형 프록시 도구

기법

·         RaaS 모델 활용

·         미국 의료 기관 대상 갈취 공격 수행

·         자격 증명 덤핑 도구 사용

·         브라우저 저장 비밀번호 탈취

·         커스텀 백도어 및 RAT 활용

·         프록시 도구를 통한 네트워크 통신 우회

·         금전 목적 랜섬웨어 배포

피해

·         데이터 암호화

·         몸값 요구 평균 260,000달러 요구

·         의료 기관 대상 운영 중단 위험 초래

·         금전 갈취 시도

내용

·         Lazarus, Medusa 랜섬웨어 활용해 미국 의료 부문 대상 갈취 공격 수행

·         중동 조직 대상 Medusa 랜섬웨어 배포 수행

·         미국 의료 기관 3곳 대상 침투 시도 수행

·         Comebacker·Blindingcan 등 도구 활용해 침투 및 자격 증명 수집 수행

·         ChromeStealer 및 Mimikatz 활용해 자격 증명 탈취 수행

·         RaaS 모델 기반으로 금전 수익 창출 목적 활동 지속

출처

·         North Korean Lazarus Group Now Working With Medusa Ransomware[1]

시기

·         2025년 6월 30일 – 2026년 1월 20일

공격 대상

·         macOS 사용자

·         crypto/Web3 조직

·         금융 조직

초기 침투

·         Telegram에서 잠재 고객 또는 파트너로 사칭

·         대화를 Microsoft Teams 통화로 전환

·         오디오 문제 해결을 명분으로 터미널 명령 실행 유도

·         lookalike 도메인 teams.microscall[.]com 사용

이용 취약점

·         없음

악성코드 및 도구

·         curl : 악성 바이너리 다운로드

·         chmod : 다운로드 파일 실행 권한 부여

·         codesign : ad-hoc 코드 서명 수행

·         nohup : 백그라운드·분리 실행 수행

·         osascript : 디렉터리 생성 및 파일 복사를 통한 데이터 스테이징 수행

·         com.apple.sys.receipt : 캐시 경로에 저장된 실행 파일

·         com.apple.icloud.sync : 임시 app bundle 경로에서 실행된 2차 컴포넌트

·         .aLTJwk : /private/tmp 경로에서 실행된 숨김 파일

기법

·         Telegram 기반 사전 접촉 및 신뢰 형성

·         Teams 통화 기반 실시간 소셜 엔지니어링

·         오디오 트러블슈팅 명분 사용

·         시스템 경로처럼 보이도록 캐시 경로 위장

·         curl로 페이로드 다운로드

·         chmod 777로 권한 변경

·         ad-hoc 코드 서명으로 실행 마찰 감소

·         nohup 기반 분리 실행

·         임시 경로의 2차 컴포넌트 실행

·         zip 압축 해제 후 숨김 파일 실행

·         사용자 Keychain 데이터베이스 직접 복사

·         AppleScript 기반 데이터 스테이징

·         공격자 통제 신규 도메인으로 아웃바운드 연결

피해

·         사용자 Keychain 자격증명 접근

·         자격증명 탈취

·         데이터 유출 준비

·         공격자 통제 인프라와 통신 발생

내용

·         Telegram에서 비즈니스 잠재 고객 또는 파트너로 사칭 후 Teams 통화로 유도

·         오디오 문제 해결을 명분으로 피해자에게 터미널 명령 직접 실행 유도

·         curl로 /Library/Caches/com.apple.sys.receipt 경로에 바이너리 다운로드 및 실행 권한 부여

·         codesign과 nohup을 이용해 실행 마찰 감소 및 분리 실행 수행

·         /private/tmp/com.apple.icloud.sync.app 이하 2차 컴포넌트와 숨김 파일 추가 실행

·         login.keychain-db 복사로 자격증명 수집 수행

·         osascript로 파일과 디렉터리 스테이징 후 유출 준비

출처

·         North Korea’s “Prospect Call” Trap: Lazarus Turns Teams Meetings into macOS Credential Theft[2]