2024년 1월 APT 그룹 동향 보고서
1) APT28 트렌드 마이크로는 APT28 (Forest Blizzard, Pawn Storm) 그룹이 2022년 4월부터 2023년 11월까지 세계 각 지역에 Outlook 취약점 (CVE-2023-23397)을 이용한 Net-NTLMv2 해시 릴레이 공격을 실행했다고 공개했다.[1] 중동 및 아시아의 해킹된 이메일 계정을 이용해 외교, 에너지, 국방, 운송, 노동, 사회 복지, 금융, 지방 시의회, 중앙 은행, 법원, 국가
Lazarus 그룹 DLL-Side Loading 기법 이용 (2)
AhnLab SEcurity intelligence Center(ASEC)은 “Lazarus 그룹 DLL-Side Loading 기법 이용”[1] 블로그를 통해 Lazarus 공격 그룹이 초기 침투 단계에서 다음 공격 단계 달성을 위해 정상 응용 프로그램을 이용한 DLL Side-Loading 공격 기법을 사용하는 방식들을 다루었다. 여기에서는 추가된 변종 DLL들과 감염 대상 검증 루틴을 다룬다. Lazarus 그룹은 국내 기업, 기관, 싱크탱크와 같은
2023년 12월 APT 그룹 동향 보고
2023년 1월 보안 업체와 기관에서 공개된 분석 내용을 종합한 주요 APT 그룹의 사례는 다음과 같다. 1) Andariel 한국 경찰은 Andariel 그룹이 한국의 방위산업, IT 보안기업, 연구소, 교육 등 14개 곳을 공격했으며 랜섬웨어로 4월 7천 만원을 벌었다고 공개했다.[1] Cisco Talos 는 Andariel 그룹의 Operation Blacksmith 캠페인을 공개했다.[2] Andariel
2023년 12월 Kimsuky 그룹 동향 보고서
개요 2023년 12월에 확인된 Kimsuky 그룹의 활동은 지난 11월에 비해 전체적으로 활동량은 조금 감소하였으나 피싱(ETC) 도메인이 이전보다 3배 가까이 증가했으며 그 외에는 소폭 감소하였다. 공격 통계 지난 11월과 비교했을 때 FQDN이 39개로 소폭 감소했으며 그중에 피싱(ETC)이 29개로 가장 많이 발견되었다. 그 외에는 FlowerPower 1개, RandomQuery 2개, AppleSeed
Kimsuky 그룹의 AppleSeed 악성코드 공격 동향 분석
북한의 지원을 받고 있다고 알려진 Kimsuky 위협 그룹은 2013년부터 활동하고 있다. 초기에는 한국의 북한 관련 연구기관 등에 대한 공격을 진행하였으며 2014년 한국의 에너지 기관에 대한 공격이 그리고 2017년 이후에는 한국 외 다른 나라에 대한 공격도 확인되고 있다. [1] 주로 스피어 피싱 공격을 통해 국방, 방위산업, 언론, 외교, 국가기관, 학술 분야를
AutoIt을 사용해 악성코드를 제작하는 Kimsuky 그룹 (RftRAT, Amadey)
개요초기 침투 방식…. 2.1. 스피어 피싱 공격…. 2.2. LNK 악성코드원격 제어 악성코드…. 3.1. XRat (Loader)…. 3.2. Amadey…. 3.3. 최신 공격 사례…….. 3.3.1. AutoIt Amadey…….. 3.3.2. RftRAT감염 이후…. 4.1. 키로거…. 4.2. 인포스틸러…. 4.3. 기타 유형들결론 1. 개요 북한의 지원을 받고 있다고 알려진 Kimsuky 위협 그룹은 2013년부터 활동하고 있다. 초기에는 한국의
수입 신고서를 위장하여 국내 연구 기관을 노리는 Kimsuky
AhnLab Security Emergency response Center(ASEC)은 최근 Kimsuky 공격 그룹에 의해 수입 신고서를 위장한 악성 JSE 파일이 국내 연구 기관을 대상으로 유포되고 있음을 확인하였다. 공격자는 최종적으로 백도어를 활용하여 정보 탈취 및 명령을 수행한다. 수입 신고서를 위장한 드롭퍼 파일명은 아래와 같다. 수입신고서_날인.jse 파일 내부에는 난독화 된 파워쉘 스크립트, Base64 인코딩된 백도어 파일
Andariel 그룹의 Apache ActiveMQ 취약점 (CVE-2023-46604) 공격 정황
AhnLab Security Emergency response Center(ASEC)은 최근 Andariel 위협 그룹의 공격을 모니터링하던 중 Andariel 그룹이 Apache ActiveMQ 원격 코드 실행 취약점(CVE-2023-46604)을 악용해 악성코드를 설치하는 것으로 추정되는 공격 사례를 확인하였다. 주로 국내 기업 및 기관들을 공격 대상으로 하는 Andariel 위협 그룹은 Lazarus 위협 그룹과 협력하는 관계이거나 혹은 Lazarus 그룹의 하위 조직으로 알려져
기업 홍보물 제작을 위장한 악성 LNK 유포
최근 AhnLab Security Emergency response Center(ASEC) 에서는 이메일 등의 수단을 통해 금융 및 블록체인 기업 종사자를 대상으로 악성 LNK 파일이 유포되는 정황을 확인하였다. 악성 LNK 파일은 URL 을 통해 유포되며, 자사 인프라를 통해 확인된 URL은 아래와 같다. 다운로드 URLhxxps://file.lgclouds001[.]com/read/?[이메일 계정]&zw=블록체인%20기업%20솔루션%20편람%20제작.ziphxxps://file.ssdrive001[.]com/read/?[이메일 계정]&zw=블록체인%20기업%20솔루션%20편람%20제작.zip 다운로드되는 파일은 “블록체인 기업 솔루션 편람 제작.zip” 명의 압축파일로,
자산 관리 프로그램을 악용한 공격 정황 포착 (Andariel 그룹)
ASEC 분석팀은 Lazarus 그룹과 협력 관계이거나 하위 조직으로 알려진 Andariel 위협 그룹이 최근 특정 자산 관리 프로그램을 이용한 공격을 통해 악성코드를 유포하고 있는 정황을 확인하였다. Andariel 그룹은 최초 침투 과정에서 주로 스피어 피싱 공격이나 워터링 홀 공격 그리고 공급망 공격을 이용하며, 이외에도 악성코드 설치 과정에서 중앙 관리 솔루션을 악용하는 사례도
