LNK ¶Ç´Â CMD ÆÄÀÏ »ðÀÔµÈ OLE È°¿ë, °ø°Ý ¼ö¹ý ¾÷±×·¹À̵å
[º¸¾È´º½º ¿À´ÙÀÎ ±âÀÚ] ¾Ç¸í ³ôÀº ±¹Á¦ »çÀ̹ö ¹üÁË Á¶Á÷ FIN7ÀÌ ¶Ç ´Ù½Ã °ø°Ý ¼ö¹ýÀ» ¹Ù²Û °ÍÀ¸·Î º¸ÀδÙ. FIN7Àº °´Ã¼ ¿¬°á »ðÀÔ(OLE: Object Linking and Embedding) ±â¼úÀ» ÀÌ¿ë, ¿öµå ¹®¼¿¡ ¸µÅ© ÆÄÀÏ(LNK file)À» »ðÀÔÇØ ¸Ö¿þ¾î¸¦ ¹èÆ÷Çϱ⠽ÃÀÛÇÑ °ÍÀ¸·Î ÃßÁ¤µÈ´Ù. Áï, ÆÄÀϸ®½º °¨¿° ¼ö¹ýÀ» ¾²±â ½ÃÀÛÇß´Ù´Â ¶æÀÌ´Ù.
[À̹ÌÁö=iclickart]
FIN7Àº ¾Æ´©³«(Anunak) ¶Ç´Â Ä«¸£¹Ù³«(Carbanak)À̶ó°íµµ ºÒ¸®´Â ÇØÄ¿ Á¶Á÷À¸·Î, 2015³â ¸» ÃÖÃÊ·Î Æ÷ÂøµÈ ÀÌ·¡ 30°³±¹ ÀÌ»ó 100°÷ÀÌ ³Ñ´Â ÀºÇàÀ» °ø°ÝÇÏ°í 2³â °£ 10¾ï ´Þ·¯ÀÇ ÀÌÀÍÀ» °ÅµÎ´Â µî ¾Ç¸íÀÌ ÀÚÀÚÇÏ´Ù. ¶ÇÇÑ, FIN7Àº ŽÁö¸¦ ÇÇÇرâ À§ÇØ °ø°Ý Åø°ú Àü¼úÀ» ÀÚÁÖ ¹Ù²Ù´Â °ÍÀ¸·Îµµ ¾Ë·ÁÁ® ÀÖ´Ù.
³×Æ®¿öÅ© º¸¾È Àü¹® ¾÷ü ICEBRG´Â 8ÀÏ ºí·Î±×¸¦ ÅëÇØ FIN7ÀÌ Å½Áö¸¦ ÇÇÇÏ·Á°í »õ·Î¿î ±â¼úÀ» µµÀÔÇÑ ÈçÀûÀ» ¹ß°ßÇß´Ù°í ¹àÇû´Ù. ÀÌÀü ¹öÀü¿¡¼ FIN7Àº ÁÖ·Î ¾Ç¼º ¸µÅ© ÆÄÀÏÀ̳ª ºñÁÖ¾ó º£ÀÌÁ÷ ½ºÅ©¸³Æ®(VBS ¶Ç´Â VBE)¸¦ È°¿ëÇØ Äڵ带 ½ÇÇà½ÃÄ×´Ù. ±×·¯³ª ÃÖ±Ù ¹ß°ßµÈ ¹öÀü¿¡¼ À̵éÀº ¸µÅ© ÆÄÀÏÀÌ »ðÀÔµÈ OLE¸¦ È°¿ëÇÏ´Â °ÍºÎÅÍ CMD ÆÄÀÏÀÌ »ðÀÔµÈ OLE¸¦ È°¿ëÇÏ´Â µ¥±îÁö ³ª¾Æ°£ °ÍÀ¸·Î ³ªÅ¸³µ´Ù.
ÃֽŠ¹öÀüÀÇ °ø°ÝÀÌ ½ÇÇàµÉ °æ¿ì, CMD ÆÄÀÏÀº ÇöÀç »ç¿ëÀÚÀÇ È¨ µð·ºÅ丮 ¾Æ·¡ À§Ä¡ÇÑ ¡®tt.txt¡¯ ÆÄÀÏ¿¡ J½ºÅ©¸³Æ®(JScript)¸¦ ÀÛ¼ºÇÑ´Ù. ±×·± ´ÙÀ½, ÀÌ ¹èÄ¡ ½ºÅ©¸³Æ®´Â µ¿ÀÏÇÑ È¨ µð·ºÅ丮 ¾Æ·¡ ÀÖ´Â ¡®pp.txt¡¯¿¡ ½º½º·Î¸¦ º¹Á¦ÇÏ°í ÇØ´ç ÆÄÀÏÀÇ J½ºÅ©¸³Æ® ¿£ÁøÀ» »ç¿ëÇØ W½ºÅ©¸³Æ®(WScript)¸¦ ÀÛµ¿½ÃŲ´Ù. ÀÌÈÄ, J½ºÅ©¸³Æ® ÄÚµå´Â ¡®pp.txt¡¯ ÆÄÀÏÀ» ÀÐ¾î µéÀÌ°Ô µÈ´Ù.
ICEBRG´Â CMD¿Í ¸µÅ© ÆÄÀÏ ¸ðµÎ ÄÚµå ½ÇÇàÀ» ÃÊ·¡ÇÑ´Ù´Â Á¡¿¡¼ °°Áö¸¸ CMD ÆÄÀÏÀ» ´õ ¸¹ÀÌ »ç¿ëÇÏ´Â ÀÌÀ¯´Â ŽÁö¸¦ ÇÇÇϱâ À§Çؼ¶ó°í ¼³¸íÇß´Ù.
°Ô´Ù°¡ FIN7Àº °ø°Ý ¿ª·®À» ³ôÀÌ°í ŽÁö À§ÇèÀ» ³·Ãß±â À§ÇØ ¹éµµ¾î ¡®ÇÏÇÁº£ÀÌÅ©µå(Half Baked)¡¯¸¦ Áö¼ÓÀûÀ¸·Î ¾÷±×·¹À̵å ÇؿԴµ¥, ICEBRG ¿¬±¸ÁøÀº ÇÏÇÁº£ÀÌÅ©µåÀÇ ³µ¶È Àü·«¿¡¼µµ ¹Ì¹¦ÇÑ º¯°æÀÌ ³ªÅ¸³µ´Ù°í ¤¾ú´Ù. ÀÌÀü¿¡ ÇÏÇÁº£ÀÌÅ©µå´Â ¡®srcTxt¡¯¶ó°í ºÒ¸®´Â ¹®ÀÚ¿ ¹è¿ º¯¼ö¿¡ ÀúÀåµÈ Base64 ÀÎÄÚµùÀ» È°¿ëÇßÀ¸³ª Áö±ÝÀÇ ÇÏÇÁº£ÀÌÅ©µå´Â ±× À̸§ ÀÚü¸¦ ³µ¶ÈÇÏ°í Base64 ¹®ÀÚ¿À» ¹è¿ ³» ´ÙÁßÀÇ ¹®ÀÚ¿·Î °è¼ÓÇؼ ÂÉ°³¹ö¸°´Ù´Â °ÍÀÌ´Ù.
ICEBRG´Â FIN7ÀÇ ÀûÀÀ·ÂÀÌ ¸Å¿ì ¶Ù¾î³ µ¥´Ù ŽÁö ¸ÞÄ¿´ÏÁòÀ» ¿ìȸÇÏ´Â ´É·Âµµ °®Ãè´Ù¸ç ¼ö¸¹Àº ¼Ò¸Å ¾÷üµéÀÌ °ø°ÝÀ» ¹ÞÀ» ¼ö ÀÖ´Ù°í °æ°íÇß´Ù. FIN7Àº ´Ù¾çÇÑ ÇÇ½Ì ¼ö¹ýÀ» »ç¿ëÇØ ·¹½ºÅä¶û µî ¼Ò¸Å ¾÷üµéÀ» °ø°ÝÇÑ Àü·ÂÀÌ ÀÖ´Ù.
[±¹Á¦ºÎ ¿À´ÙÀÎ ±âÀÚ(boan2@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>