»ç¿ëÀÚÀÇ ´Ù¾çÇÑ °èÁ¤Á¤º¸ Å»Ãë °¡´É¼º Ä¿... ¾ÏÈ£ÈÆó Áö°© ÁÖ¼Ò ÀúÀå½Ã Å»Ãë´çÇÒ ¼öµµ
[º¸¾È´º½º ±è¿µ¸í ±âÀÚ] ´ÙũŬ¶ó¿ìµå(DarkCloud)´Â °¨¿° ½Ã½ºÅÛ¿¡ ÀúÀåµÅ ÀÖ´Â »ç¿ëÀÚÀÇ °èÁ¤Á¤º¸µéÀ» Å»ÃëÇÏ´Â ÀÎÆ÷½ºÆ¿·¯ ¾Ç¼ºÄÚµå·Î, °ø°ÝÀÚ´Â ´ÙũŬ¶ó¿ìµå ¿Ü¿¡µµ Ŭ¸³¹ðÄ¿(ClipBanker) ¾Ç¼ºÄڵ带 ÇÔ²² ¼³Ä¡, À¯Æ÷ÇÏ°í ÀÖ´Â °ÍÀ¸·Î ÆľǵƴÙ.
[À̹ÌÁö=gettyimagesbank]
¾È·¦ ASEC ºÐ¼®ÆÀ¿¡ µû¸£¸é, ÃÖ±Ù ½ºÆÔ ¸ÞÀÏÀ» ÅëÇØ ´ÙũŬ¶ó¿ìµå ¾Ç¼ºÄڵ尡 À¯Æ÷ ÁßÀÎ °ÍÀ» È®ÀÎÇß´Ù°í ¹àÇû´Ù. °ø°ÝÀÚ´Â ÀÏ»óÀûÀÎ ¸ÞÀÏÀ» ¹ß¼ÛÇØ ¸ÞÀÏÀ» ¿¶÷ÇÏ´Â »ç¿ëÀÚ°¡ ÷ºÎÆÄÀÏÀ» ³»·Á¹Þ°í ½ÇÇàÇϵµ·Ï À¯µµÇÏ°í ÀÖ´Ù.
ÇØ´ç ¸ÞÀÏÀº ȸ»ç °èÁ¤À¸·Î ÁöºÒµÈ ±Ý¾×¿¡ ´ëÇÑ Ã·ºÎµÈ »çº»À» È®ÀÎÇϵµ·Ï À¯µµÇÏ´Â ³»¿ëÀÌ´Ù. ÷ºÎ ÆÄÀÏÀÇ ¾ÐÃàÀ» ÇØÁ¦ÇÏ¸é ½ÇÁ¦ ÆÄÀÏÀº PDF ¾ÆÀÌÄÜÀ» À§ÀåÇÏ°í Àֱ⠶§¹®¿¡ ÀϹÝÀûÀÎ »ç¿ëÀÚÀÇ °æ¿ì ´Ü¼øÇÑ ¹®¼ ÆÄÀÏ·Î »ý°¢ÇÏ°í ¾Ç¼ºÄڵ带 ½ÇÇàÇÒ ¼ö ÀÖ´Ù.
¡ã¾Ç¼ºÄڵ尡 ÷ºÎµÈ °ø°ÝÀÚÀÇ ¸ÞÀÏ[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ]
¸ÞÀÏ¿¡ ÷ºÎµÈ ÆÄÀÏÀº µå·ÎÆÛ ¾Ç¼ºÄÚµå·Î¼ ´ÙũŬ¶ó¿ìµå¿Í Ŭ¸³¹ðÄ¿¸¦ »ý¼ºÇÏ°í ½ÇÇàÇÏ´Â ¿ªÇÒÀ» ´ã´çÇÑ´Ù. Áï, »ç¿ëÀÚ°¡ ÇØ´ç ¸ÞÀÏÀÇ Ã·ºÎÆÄÀÏÀ» ´Ù¿î·ÎµåÇÏ°í ¾ÐÃà ÇØÁ¦ ÈÄ, ½ÇÇàÇÒ °æ¿ì¿¡´Â °¨¿° ½Ã½ºÅÛ¿¡ Á¸ÀçÇÏ´Â »ç¿ëÀÚÀÇ ´Ù¾çÇÑ °èÁ¤Á¤º¸°¡ Å»Ãë´çÇÒ ¼ö ÀÖ´Ù. ¶ÇÇÑ, ¾ÏÈ£ÈÆó Áö°© ÁÖ¼Ò¸¦ º¹»çÇØ Å¬¸³º¸µå¿¡ ÀúÀåÇÒ °æ¿ì¿¡´Â °Á¦·Î °ø°ÝÀÚÀÇ ÁÖ¼Ò·Î º¯°æµÅ °Å·¡ ½Ã¿¡ °ø°ÝÀÚÀÇ Áö°© ÁÖ¼Ò·Î Àü¼ÛÇÒ À§ÇèÀÌ Á¸ÀçÇÑ´Ù.
¸ÞÀÏ¿¡ ÷ºÎµÈ ½ÇÇà ÆÄÀÏÀº µå·ÎÆÛ ¾Ç¼ºÄÚµå·Î¼ ¸ÕÀú ƯÁ¤ °æ·Î¿¡ ÀÚ½ÅÀ» º¹»çÇÏ°í Run Å°¿¡ µî·ÏÇØ ÀçºÎÆà ÀÌÈÄ¿¡µµ ÀÚµ¿À¸·Î µ¿ÀÛÇÒ ¼ö ÀÖµµ·Ï Çß´Ù. ±× ÀÌÈÄ %TEMP% °æ·Î¿¡ 2°³ÀÇ ¾Ç¼ºÄڵ带 °¢°¢ »ý¼ºÇÏ°í ½ÇÇàÇÑ´Ù.
°¡Àå ¸ÕÀú »ý¼º ¹× ½ÇÇàµÇ´Â ¾Ç¼ºÄÚµåÀÎ ¡®Lilgghom.exe¡¯´Â Ŭ¸³¹ðÄ¿ ¾Ç¼ºÄÚµå´Ù. Ŭ¸³¹ðÄ¿´Â °¨¿° ½Ã½ºÅÛ¿¡¼ »óÁÖÇÏ¸é¼ »ç¿ëÀÚ°¡ ºñÆ®ÄÚÀÎ ¶Ç´Â ÀÌ´õ¸®¿ò ¾ÏÈ£ÈÆóÀÇ Áö°© ÁÖ¼Ò¸¦ º¹»çÇÒ °æ¿ì °ø°ÝÀÚÀÇ Áö°© ÁÖ¼Ò·Î º¯°æÇÑ´Ù. ÀϹÝÀûÀ¸·Î ÄÚÀÎ Áö°© ÁÖ¼ÒÀÇ °æ¿ì ÀÏÁ¤ÇÑ Çü½ÄÀ» °®Ãß°í ÀÖÁö¸¸, ±æ°í ·£´ýÇÑ ¹®ÀÚ¿·Î ¿Ü¿ì±â ¾î·Á¿ö »ç¿ëÀÚµéÀº ÁÖ¼Ò¸¦ »ç¿ëÇÒ ¶§ º¹»ç ¹× ºÙ¿©³Ö±âÇÏ´Â ¹æ½ÄÀ» ÀÌ¿ëÇÏ°Ô µÈ´Ù. ÇÏÁö¸¸ ÀÌ °úÁ¤¿¡¼ Áö°© ÁÖ¼Ò°¡ º¯°æµÈ´Ù¸é »ç¿ëÀÚ°¡ ƯÁ¤ Áö°©À¸·Î ÀÔ±ÝÇÏ·Á°í ÇÒ ¶§ ±× ÁÖ¼Ò°¡ °ø°ÝÀÚÀÇ Áö°© ÁÖ¼Ò·Î º¯°æµÅ ½ÇÁ¦·Î´Â ´Ù¸¥ Áö°©À¸·Î ÀÔ±ÝµÉ ¼ö ÀÖ´Ù.
°ø°Ý¿¡ »ç¿ëµÈ Ŭ¸³¹ðÄ¿´Â ¡®Get Cliboard Address.exe¡¯¶ó´Â À̸§À¸·Î Á¦ÀÛµÆÀ¸¸ç, Ŭ¸³º¸µå¸¦ ¸ð´ÏÅ͸µÇÏ°í ÀÖ´Ù°¡ ƯÁ¤ Á¤±Ô Ç¥Çö½Ä¿¡ ¸ÅĪµÉ °æ¿ì °ø°ÝÀÚ°¡ ÁöÁ¤ÇÑ Áö°© ÁÖ¼Ò·Î º¯°æÇÑ´Ù.
´ÙÀ½À¸·Î »ý¼º ¹× ½ÇÇàµÇ´Â ¡®Ckpomlg.exe¡¯´Â ÀÎÆ÷½ºÆ¿·¯ ¾Ç¼ºÄÚµå·Î, °¨¿° ½Ã½ºÅÛ¿¡ ÀúÀåµÅ ÀÖ´Â ´Ù¾çÇÑ »ç¿ëÀÚ Á¤º¸µéÀ» ¼öÁýÇÏ°í Å»ÃëÇÏ´Â ±â´ÉÀ» ´ã´çÇÑ´Ù. ÇØ´ç ¾Ç¼ºÄÚµå´Â ÃÖ±Ù À¯Æ÷µÇ°í ÀÖ´Â ¾Ç¼ºÄÚµåµé°ú ´Þ¸® VB6 ¾ð¾î·Î °³¹ßµÈ °ÍÀÌ Æ¯Â¡ÀÌ´Ù.
´ÙũŬ¶ó¿ìµå´Â ÀϹÝÀûÀÎ ÀÎÆ÷½ºÆ¿·¯ ¾Ç¼ºÄÚµåµéó·³ À¥ ºê¶ó¿ìÀú ¹× FTP, À̸ÞÀÏ Å¬¶óÀ̾ðÆ®¿¡ ÀúÀåµÅ ÀÖ´Â »ç¿ëÀÚ °èÁ¤Á¤º¸¸¦ Å»ÃëÇÑ´Ù. ¶ÇÇÑ, ¼öÁýÇÑ Á¤º¸¸¦ ¸í·ÉÁ¦¾î(C&C) ¼¹ö¿¡ Àü¼ÛÇÒ ¶§ SMTP³ª Telegram API¿Í °°Àº ¹æ½ÄÀ» »ç¿ëÇÑ´Ù´Â Á¡¿¡¼µµ AgentTesla, SnakeKeylogger °°Àº ´Ù¸¥ ÀÎÆ÷½ºÆ¿·¯¿Í À¯»çÇÏ´Ù.
Âü°í·Î ´ÙũŬ¶ó¿ìµå ¾Ç¼ºÄÚµå´Â °ø°ÝÀÚÀÇ SMTP °èÁ¤ Á¤º¸°¡ º¯°æµÅ ·Î±×ÀÎÀÌ ºÒ°¡´ÉÇÏ´Ù. ÇÏÁö¸¸ °ú°Å µ¿ÀÏÇÑ À̸ÞÀÏ °èÁ¤À» »ç¿ëÇÑ AgentTesla ¾Ç¼ºÄÚµåµéÀÌ ÇÔ²² È®ÀεǴ °ÍÀ¸·Î º¸¾Æ °ø°ÝÀÚ´Â ´ÙũŬ¶ó¿ìµå ¿Ü¿¡ AgentTesla ÀÎÆ÷½ºÆ¿·¯µµ ½ºÆÔ ¸ÞÀÏ °ø°Ý Ä·ÆäÀο¡ »ç¿ëÇÑ °ÍÀ¸·Î ÃßÁ¤µÈ´Ù. ´ÙũŬ¶ó¿ìµå´Â °èÁ¤Á¤º¸ ¼öÁýÀ» À§ÇØ ÇÊ¿äÇÑ ¡®vbsqlite3.dll¡¯À» ¸®¼Ò½º ¼½¼Ç¿¡ °®°í ÀÖÀ¸¸ç, ½ÇÇà Áß Æ¯Á¤ °æ·Î¿¡ »ý¼ºÇØ ·ÎµåÇÑ´Ù.
¡ã¸®¼Ò½º ¼½¼Ç¿¡ ÀúÀåµÅ ÀÖ´Â ¶óÀ̺귯¸® ÆÄÀÏ[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ]
Á¤º¸ Å»Ãë ´ë»óÀ¸·Î´Â Å©·Î¹Ì¿ò, ÆÄÀ̾îÆø½º ±â¹Ý À¥ ºê¶ó¿ìÀúµé°ú ¾Æ¿ô·è ¹× ThunderBird, FoxMail°ú °°Àº À̸ÞÀÏ Å¬¶óÀ̾ðÆ®, ±×¸®°í CoreFTP, WinSCP¿Í °°Àº FTP Ŭ¶óÀ̾ðÆ® ÇÁ·Î±×·¥¿¡ ÀúÀåµÅ ÀÖ´Â °èÁ¤Á¤º¸°¡ ÀÖ´Ù. ÀÌ¿Ü¿¡µµ À¥ ºê¶ó¿ìÀú¿¡ ÀúÀåµÅ ÀÖ´Â ½Å¿ëÄ«µå Á¤º¸ µî ´Ù¾çÇÑ »ç¿ëÀÚ Á¤º¸µéÀÌ Å»ÃëµÉ ¼ö ÀÖ´Ù.
Å»ÃëÇÑ Á¤º¸µéÀº PUBLIC ³» Libraries °æ·Î¿¡ »ý¼ºÇÑ Æú´õ¿¡ ÀúÀåµÇ´Âµ¥, ÀÌ Æú´õ¿¡¼´Â Å»ÃëÇÑ Á¤º¸¿¡ ½Ã±×´Ïó ¹®ÀÚ¿ÀÎ ¡®DARKCLOUD¡¯¸¦ È®ÀÎÇÒ ¼ö ÀÖ´Ù. ´ÙũŬ¶ó¿ìµå ¾Ç¼ºÄÚµå´Â ¼öÁýÇÑ Á¤º¸¸¦ Å»ÃëÇÒ ¶§ SMTP ÇÁ·ÎÅäÄÝ ¿Ü¿¡µµ ÅÚ·¹±×·¥ API¸¦ ÇÔ²² ÀÌ¿ëÇÏ´Â °ÍÀÌ Æ¯Â¡ÀÌ´Ù.
ASEC °ü°èÀÚ´Â ¡°»ç¿ëÀÚµéÀº Ãâó°¡ ºÒºÐ¸íÇÑ ¸ÞÀÏÀÇ Ã·ºÎÆÄÀÏÀ̳ª À¥ ÆäÀÌÁö¿¡¼ ´Ù¿î·ÎµåÇÑ ½ÇÇà ÆÄÀÏÀº ´õ¿í ÁÖÀÇÇØ¾ß Çϸç, À¯Æ¿¸®Æ¼ ¹× °ÔÀÓ µîÀÇ ÇÁ·Î±×·¥Àº ¹Ýµå½Ã °ø½Ä ȨÆäÀÌÁö¿¡¼ ´Ù¿î·ÎµåÇÏ´Â °ÍÀ» ±ÇÀåÇÑ´Ù¡±¸ç ¡°¿î¿µÃ¼Á¦¿Í ÀÎÅÍ³Ý ºê¶ó¿ìÀú µîÀÇ ÇÁ·Î±×·¥µé¿¡ ´ëÇØ ÃֽŠÆÐÄ¡¸¦ ÁøÇàÇÏ°í, V3 µî ¹é½ÅÀ» ¾÷µ¥ÀÌÆ®ÇØ ¾Ç¼ºÄÚµåÀÇ °¨¿°À» »çÀü¿¡ Â÷´ÜÇÒ ¼ö ÀÖµµ·Ï ½Å°æ½á¾ß ÇÑ´Ù¡±°í ¸»Çß´Ù.
[±è¿µ¸í ±âÀÚ(boan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>