Kimsuky 그룹의 xRAT(Quasar RAT) 유포 정황
2022년 1월 26일 ASEC 분석팀은 Kimsuky 공격 그룹에서 xRAT (Quasar RAT 기반의 오픈소스 RAT) 악성코드를 사용하는 정황을 포착하였다. xRAT Github 주소 : https://github.com/tidusjar/xRAT 자사 ASD(AhnLab Smart Defense) 인프라에 확보된 로그에 따르면 공격자는 Gold Dragon의 변종을 1월 24일 최초 감염 PC에 설치하였다. 확보된 파일이 Gold Dragon의 변종이라고 추정하는 근거는 다음과 같다.
대북 관련 한글문서(HWP) 유포 중
ASEC 분석팀은 최근 대북 관련 악성 한글 문서 파일을 유포 중인 정황을 확인하였다. 동작 방식은 취약점이 아닌 문서 실행 시 노출되는 화면에 사용자 클릭을 유도하는 하이퍼 링크를 삽입하고, 이를 클릭 시 문서 내부에 포함된 실행 파일들이 동작하는 방식이다. 이처럼 문서 내부에 실행 파일들이 존재하는 것은 정상 한글문서에서도 확인되는 특징으로 개체
Kimsuky 그룹의 APT 공격사례 (PebbleDash)
최근 ASEC 분석팀은 APT 공격을 시도하는 악성코드 동향을 지속적으로 파악하며 관련 내용을 공유하고 있다. 이번에 확인된 사례는 PebbleDash 백도어 악성코드를 이용한 공격 사례이며, 이외에도 AppleSeed, Meterpreter 및 추가적인 악성코드들의 로그를 확인할 수 있었다. PebbleDash 백도어 공격자는 다음과 같은 스피어 피싱 메일을 전송하여 사용자로 하여금 첨부 파일로 보여지는 링크를 클릭하여 압축
CVE-2021-40444 취약점을 이용한 대북 관련 악성 문서
ASEC 분석팀에서는 최근 마이크로소프트에서 9월에 발표한 신규 취약점인 CVE-2021-40444를 포함한 문서 파일들이 유포되고 있는 정황을 확인하였다. 주목할 점은 확인된 문서들이 대북관련이라는 점이다. 대북과 관련한 악성 문서들은 과거부터 지속 새로운 방식으로 발전하고 있는데 최신 취약점을 사용한 것이 확인된 만큼 관련 공격자들이 발빠르게 새로운 기법들을 적용하여 유포 시도하고 있는 것을 알 수
Kimsuky 그룹의 APT 공격 분석 보고서 (AppleSeed, PebbleDash)
본 문서는 최근 Kimsuky 그룹에서 사용하는 악성코드들에 대한 분석 보고서이다. Kimsuky 그룹은 주로 스피어피싱과 같은 사회공학적 공격 방식을 이용하는데, 첨부 파일들의 이름으로 추정했을 때 공격 대상들은 주로 북한 및 외교 관련 업무를 수행하는 사용자들로 보인다. 자사 ASD 인프라의 감염 로그를 보면 공격 대상은 일반적인 기업들보다는 개인 사용자들이 다수인 것으로 확인되지만,
KIMSUKY 조직의 Operation Light Shell
1. 개요 KIMSUKY 조직은 국가를 배경으로 둔 해킹 조직으로 외교, 안보, 정치, 언론, 의료, 방산, 교육, 암호 화폐 등 다양한 분야를 대상으로 금전적인 이득, 파일 탈취를 위해 해킹을 수행하고 있으며, 이를 위해서 악성코드를 제작한 후 유포했다. 본 보고서는 KIMSUKY 조직이 제작한 후 유포한 악성코드 중 악성코드의 패턴과 특징을 근거로
유사한 도메인 형태의 External 링크를 사용하는 악성 워드 문서
최근 공격 정황들이 확인되고 있는 악성 워드(WORD)문서들은 대부분 매크로 형태이나 이번에 ASEC분석팀은 이 매크로 악성 워드를 실행시키기 위한 상위 공격 과정에서 C2가 살아있는 External 링크 워드를 이용한 케이스를 확인하였다. 이 방식은 과거 게시글에서도 설명한 바있으며 주로 대북관련 본문 내용의 악성 워드에서 사용했었다. 이전 블로그 : 대북관련 본문 내용의 External
CAPTCHA 화면이 있는 피싱 PDF 파일 대량 유포 중
올해 들어 CAPTCHA 화면이 있는 피싱 PDF 파일이 급격하게 대량 유포되고 있다. PDF 파일 실행 시 CAPTCHA 화면이 보이는데, 이는 실제 유효한 CAPTCHA는 아니다. 단순 이미지에 악성 주소로 리다이렉트 할 수 있는 링크가 연결되어 있다. 안랩 ASD 인프라에 수집된 관련 유형은 올해 7월 ~ 현재까지만 하더라도 약 150만 개이다. 대부분
대북 관련 본문 내용 악성 워드의 지속 유포 정황 확인
ASEC 분석팀은 대북관련 내용을 포함한 악성 워드 문서가 지속적으로 유포되고 있음을 확인하였다. 확인된 워드 파일에 포함된 매크로 코드는 이전에 게시된 < ‘수출용 골드바 매매 계약서’로 위장한 악성 워드문서> 에서 확인되었던 것과 유사하다. 최근 확인된 파일명은 아래와 같다. 중국의 군사전략 분석 및 미래 군사전략 전망.doc (10/25 확인) 질의서-12월 방송.doc (10/28
코로나19 지원금 관련 ‘개인정보 수집 동의서’ 본문 내용의 악성 한글(HWP) 파일
ASEC 분석팀에서는 한동안 유포가 뜸했던 악성 한글(HWP) 파일을 확인하였다. 올 해 4월을 마지막으로 게시된 HWP 파일의 경우에도 내부에 악성 링크 개체를 삽입한 것으로 이번에 확인된 악성 EPS가 삽입된 것은 올해들어 처음 확인된 케이스이다. VirusTotal에도 업로드 되어있는 파일로 누군가 업로드시 ‘test.hwp’, ‘123.hwp’명으로 업로드 한 것으로 보아 테스트 단계로 제작했을 가능성도
