º¸¾È´º½º â°£ 17ÁÖ³âÀ» ÃàÇÏÇÕ´Ï´Ù!!

Home > Àüü±â»ç

¾Ç¼º ÇѱÛÆÄÀÏ ÀÌ¿ëÇÑ APT °ø°Ý ¡®À¯·É ²ÀµÎ°¢½Ã¡¯ ÁýÁߺм®

ÀÔ·Â : 2018-09-20 18:03
ÆäÀ̽ººÏ º¸³»±â Æ®À§ÅÍ º¸³»±â ³×À̹ö ¹êµå º¸³»±â Ä«Ä«¿À ½ºÅ丮 º¸³»±â ³×À̹ö ºí·Î±× º¸³»±â
À̽ºÆ®½ÃÅ¥¸®Æ¼ ½ÃÅ¥¸®Æ¼´ëÀÀ¼¾ÅÍ, ÃֽŠAPT Ä·ÆäÀÎ ÀÛÀü¸í ¡®À¯·É ²ÀµÎ°¢½Ã¡¯ ¹ßÇ¥

[º¸¾È´º½º ¿øº´Ã¶ ±âÀÚ] ¾Ç¼ºÄÚµå °¨¿°À» À§ÇØ ÇÑ±Û ¹®¼­ ÆÄÀÏÀ» »ç¿ëÇÑ »õ·Î¿î °ø°ÝÀÌ ¹ß°ßµÆ´Ù. À̽ºÆ®½ÃÅ¥¸®Æ¼ ½ÃÅ¥¸®Æ¼´ëÀÀ¼¾ÅÍ(ESRC)´Â Áö³­ 8¿ù ¾Ç¼º ÇÑ±Û ¹®¼­ ÆÄÀÏ ¡®À¯»ç¼ö½ÅÇàÀ§ À§¹ÝÅ뺸.hwp¡¯°¡ ¹ß°ßµÆ´Ù°í ¹àÇû´Ù. ÇØ´ç ¹®¼­ ÆÄÀÏÀº ƯÁ¤ÀÎÀÇ À¯»ç ¼ö½Å ÇàÀ§¿¡ ´ëÇÑ °í¹ß ³»¿ëÀ» ´ã°í ÀÖÁö¸¸ ÆÄÀÏ ³»ºÎ¿¡ ¡®GhostScript¡¯ Ãë¾àÁ¡ Äڵ带 Æ÷ÇÔÇÏ°í ÀÖÀ¸¸ç, ÀÌ¿ëÀÚ°¡ ¹«½É°á¿¡ ½ÇÇàÇÒ °æ¿ì Ãë¾àÁ¡À¸·ÎºÎÅÍ ¿ø°Ý Á¦¾î ±â´ÉÀ» ¼öÇàÇÏ´Â ¾Ç¼ºÄÚµå(ÆäÀ̷εå)¿¡ °¨¿°µÈ´Ù.

¡ã ¡®À¯·É ²ÀµÎ°¢½Ã¡¯ APT °ø°Ý ºÐ¼®º¸°í¼­[ÀÚ·á=À̽ºÆ®½ÃÅ¥¸®Æ¼]


°ø°Ý °úÁ¤¿¡¼­ ÁÖ¸ñÇÒ Á¡Àº °ø°ÝÀÚ´Â ¾Ç¼ºÄÚµå °¨¿°À» À§ÇØ ÇÑ±Û ¹®¼­ ÆÄÀÏÀ» »ç¿ëÇß´Ù´Â °ÍÀÌ´Ù. °ø°ÝÀÚ°¡ ÇÑ±Û ¹®¼­¸¦ »ç¿ëÇÑ ÀÌÀ¯´Â ¡®Çѱۡ¯ ¿öµåÇÁ·Î¼¼¼­ Á¦Ç°Àº MS Office Á¦Ç°±º(Excel, Word µî)°ú ´Þ¸® ÇѱÛÀ̶ó´Â Àü¿ë ¾ð¾î¸¦ »ç¿ëÇÏ´Â ±¹»ê ¿öµåÇÁ·Î¼¼¼­·Î½á, »ç¿ëó°¡ ÁÖ·Î ±¹°¡ ±â°üÀ̱⿡ °ø°Ý ´ë»óÀÌ ¸íÈ®Çϱ⠶§¹®À¸·Î º¸ÀδÙ.

ESRC´Â ¡®GhostScript ¿£ÁøÀÇ Ãë¾àÁ¡¡¯°ú ¡®ÆäÀ̷εåÀÇ ¿ø°ÝÁ¦¾î ±â´É¡¯°ú °°Àº °ø°Ý Ư¡À» Åä´ë·Î ÀÛÀü(Operation)¸íÀ» ¡®À¯·É ²ÀµÎ°¢½Ã(Ghost Puppet)¡¯·Î ¸í¸íÇÑ´Ù°í ¹àÇû´Ù.

¾Ç¼º ÇÑ±Û ¹®¼­ ÆÄÀÏ »ç·Ê ºÐ¼®(À¯»ç¼ö½ÅÇàÀ§ À§¹ÝÅ뺸.hwp)
'À¯»ç¼ö½ÅÇàÀ§ À§¹ÝÅ뺸.hwp¡¯´Â Ãë¾àÁ¡ÀÌ Æ÷ÇÔµÈ Æ÷½ºÆ®½ºÅ©¸³Æ®¸¦ ½ÇÇàÇØ ¾Ç¼ºÄڵ带 ´Ù¿î·ÎµåÇÏ´Â ±â´ÉÀ» ¼öÇàÇÑ´Ù.

±×¸² 1Àº ¾Ç¼º ÇÑ±Û ¹®¼­ ÆÄÀÏ¿¡ ¡®Æ÷½ºÆ®½ºÅ©¸³Æ®¡¯°¡ ¾ÐÃàµÈ È­¸éÀÌ´Ù. ¾Ç¼º ÇÑ±Û ¹®¼­ ÆÄÀÏÀº Ãë¾àÁ¡ Äڵ尡 Æ÷ÇÔµÈ Æ÷½ºÆ®½ºÅ©¸³Æ®·Î ¾Ç¼º ÇàÀ§¸¦ ¼öÇàÇϸç, Æ÷½ºÆ®½ºÅ©¸³Æ®´Â ÇÑ±Û ÆÄÀÏ(HWP) ±¸Á¶ Áß ¡®BinData¡¯ÀÇ ¡®BIN0001.ps¡¯¿¡ Á¸ÀçÇÑ´Ù. ¡®BinData¡¯´Â ¡®±×¸²À̳ª OLE °³Ã¼¿Í °°ÀÌ ¹®¼­¿¡ ÷ºÎµÈ ¹ÙÀ̳ʸ® µ¥ÀÌÅÍ¡¯¸¦ ÀǹÌÇϸç, ¡®BinData¡¯ ÇÏÀ§ÀÇ ¡®BIN0001.ps¡¯´Â ¾Ç¼º Æ÷½ºÆ®½ºÅ©¸³Æ® ÆÄÀÏ·Î ¡®zlib¡¯ ¾ÐÃà ¸ðµâ·Î ¾ÐÃà(Compress)µÇ¾î ÀÖ´Ù.

¡ã±×¸² 1. ¾Ç¼º ÇÑ±Û ¹®¼­¿¡ Æ÷ÇÔµÈ Æ÷½ºÆ®½ºÅ©¸³Æ®(BIN0001.ps)[ÀÚ·á=ESRC]


ÇÑ±Û ¿öµåÇÁ·Î¼¼¼­¿¡¼­´Â ¡®Æ÷½ºÆ®½ºÅ©¸³Æ®(PostScript)¡¯¸¦ ¡®°í½ºÆ® ½ºÅ©¸³Æ®¡¯·Î ó¸®ÇÑ´Ù. ±×¸² 2´Â ¡®gbb.exe¡¯¸¦ ÅëÇØ Æ÷½ºÆ®½ºÅ©¸³Æ® C:\Users\(»ç¿ëÀÚ °èÁ¤)\AppData\Local\Temp\Hnc\BinData\EMB00000cf808e8.ps¡¯¸¦ ·ÎµåÇÏ´Â È­¸éÀÌ´Ù.

¡ã±×¸² 2. ¡®gbb.exe¡¯¸¦ ÅëÇØ Æ÷½ºÆ®½ºÅ©¸³Æ®¸¦ ·ÎµåÇÏ´Â È­¸é[ÀÚ·á=ESRC]


¡®gbb.exe¡¯¿¡¼­ ½ÇÇàµÈ ¡®EMB00000cf808e8.ps¡¯´Â Æ÷½ºÆ®½ºÅ©¸³Æ®·Î¼­, µðÄÚµùÀ» ÅëÇØ ÀÎÁ§¼Ç ¹× ´Ù¿î·Îµå ±â´ÉÀ» °¡Áø ½©Äڵ带 ·ÎµåÇÑ´Ù. ·ÎµåµÈ ½©ÄÚµå´Â ¡®explorer.exe¡¯¿¡ Thread ÀÎÁ§¼ÇÇÑ ÈÄ C&C·Î ºÎÅÍ ÆäÀ̷ε带 ´Ù¿î·Îµå ÇÏ´Â ±â´ÉÀ» ¼öÇàÇÑ´Ù. ´Ù¿î·Î´õ ÄÚµå´Â ±×¸² 3À» ÂüÁ¶ÇÏ¸é µÈ´Ù.

¡ã±×¸² 3. ´Ù¿î·Î´õ ÄÚµå[À̹ÌÁö=ESRC}


¡®explorer.exe¡¯ ¸Þ¸ð¸®¿¡¼­ ½ÇÇàµÇ´Â ¡®gcoin2.swf¡¯ ¾Ç¼ºÄÚµå´Â ¿ø°Ý Á¦¾î ±â´ÉÀ» ¼öÇàÇÑ´Ù. °ø°ÝÀڷκÎÅÍ ¸í·ÉÀ» ¹Þ±â À§ÇØ C&C¿¡ ¿¬°áÇÏ´Â ÄÚµå¿Í Á¤º¸´Â ±×¸² 4¿Í °°´Ù.

¡ã±×¸² 4. C&C ¿¬°á ÄÚµå[À̹ÌÁö=ESRC]


C&C¿¡¼­ ¸í·ÉÀ» ¹ÞÀº °æ¿ì, °ø°ÝÀÚ°¡ Àü¼ÛÇÑ ¸í·É¾î¿¡ µû¶ó ¾Ç¼º ±â´ÉÀÌ ¼öÇàµÈ´Ù. ¿ø°Ý Á¦¾î ÄÚµå ¹× ¸í·É¾î¿¡ µû¸¥ ±â´ÉÀ» Á¤¸®ÇÑ Ç¥´Â ±×¸² 5¿Í °°´Ù.

¡ã±×¸² 5. ¿ø°Ý Á¦¾î ÄÚµå[À̹ÌÁö=ESRC]


¸ÞŸ µ¥ÀÌÅÍ ºÐ¼®
¹®¼­ ¸ÞŸµ¥ÀÌÅÍ·Î ºÃÀ» ¶§, ÇØ´ç ¾Ç¼º ÆÄÀÏÀº KST ±âÁØÀ¸·Î ¾à ¿ÀÀü 10½Ã 54ºÐ°æ ¡®User¡¯ °èÁ¤À¸·Î ÃÖÃÊ ¹®¼­°¡ ¸¸µé¾îÁ³°í, ¾à 40ºÐ µÚ¿¡ ÃÖÁ¾ ÀÛ¼º ¿Ï·áµÆ´Ù. ¶ÇÇÑ, ¾Õ¼­ ¾ð±ÞÇÑ ¡®gcoin2.swf¡¯ ¾Ç¼ºÄÚµåÀÇ °æ¿ì ºôµå ½Ã°£(TimeStamp)ÀÌ ¡®2018³â 08¿ù 03ÀÏ 01:34:02(UTC)¡¯ÀÌ´Ù. µû¶ó¼­ ÇÑ±Û ¾Ç¼º ÆÄÀÏ°ú ¡®gcoin2.swf¡¯ ÆÄÀÏÀº º°µµÀÇ ½Ã°£ Á¶ÀÛÀÌ µÇÁö ¾ÊÀº °ÍÀ¸·Î º¸ÀδÙ. ´ÙÀ½Àº ¾Ç¼º ÇÑ±Û ¹®¼­¿Í ¿ø°ÝÁ¦¾î ¾Ç¼ºÄÚµå DLLÀÇ ½Ã°£ °ü°è¸¦ ³ªÅ¸³½ ±×¸²ÀÌ´Ù.

¡ã±×¸² 6. ¾Ç¼ºÄÚµå °£ÀÇ ½Ã°£ ¼ø¼­[À̹ÌÁö=ESRC]


±×¸² 7ÀÇ ¹®¼­´Â À¯»ç ¼ö½Å µîÀÇ ¹ý·ü°ú °ü·ÃµÈ Àü¹®ÀûÀÎ Áö½ÄÀ» °¡Áö°í ÀÛ¼ºµÈ °Ô ¾Æ´Ñ ÀÎÅͳÝ(¹ý¹«¹ýÀÎ Çѿ츮¿¡¼­ Á¦°øÇÏ´Â ¿Â¶óÀμҼ۴åÄÄ »çÀÌÆ®)¿¡ ¾÷·ÎµåµÈ ¾ç½ÄÀ» Åä´ë·Î ¼öÁ¤µÈ °ÍÀ¸·Î º¸ÀδÙ. ¡®¸í¸ñ¡¯ ´ë½Å ¡®¸íº¹¡¯À̶ó´Â ¿ÀŸ¸¦ ±×´ë·Î »ç¿ëÇÑ Á¡Àº À̸¦ µÞ¹ÞħÇÏ´Â ±Ù°Å´Ù.

¡ã±×¸² 7. ½Ã±âº° °¢ ¾Ç¼º ÇÑ±Û ¹®¼­ º° º»¹® ³»¿ë[À̹ÌÁö=ESRC]


°ú°Å ¾Ç¼º ÇÑ±Û ÆÄÀÏ°ú À¯»ç¼º ºÐ¼® - ¹®¼­ ¸ÞŸ µ¥ÀÌÅÍ
´ÙÀ½Àº ¡®¸¶Áö¸· ¹®¼­ ÀúÀå ½Ã°£(Last Saved Time)¡¯À» ±âÁØÀ¸·Î Á¤·ÄÇÑ °¢ ¾Ç¼º ÇÑ±Û ¹®¼­¿¡ ÀúÀåµÈ ¸ÞŸ µ¥ÀÌÅÍ´Ù. ¸ÞŸ µ¥ÀÌÅÍ·Î º¼ ¶§, Author(¹®¼­ »ý¼ºÀÚ)³ª Last_Saved_by(¸¶Áö¸·À¸·Î ¹®¼­¸¦ ÀúÀåÇÑ »ç¶÷)´Â ¹®¼­¸¶´Ù »óÀÌÇÏ´Ù. ÇÏÁö¸¸, 4¿ùºÎÅÍ 6¿ù Áß¼ø±îÁö ¹ß°ßµÈ ¹®¼­°¡ ´ëºÎºÐ ¡®TATIANA¡¯ °èÁ¤À¸·Î ÀÛ¼ºµÇ¾úÀ½À» ¾Ë ¼ö ÀÖ´Ù.

½Ã±âº°·Î ³»¿ëÀ» Á¤¸®ÇÑ °ÍÀÌ ±×¸² 8ÀÌ´Ù. °¢ ¹®¼­´Â À̷¼­, ³í¹®, º¸µµÀÚ·á µîÀÇ »óÀÌÇÑ ³»¿ëÀ» ´ã°í ÀÖÁö¸¸, ´ëüÀûÀ¸·Î °¡»óÈ­Æó, À¯»ç¼ö½ÅÇàÀ§, ºÎµ¿»ê µîÀÇ ±ÝÀ¶°ú °ü·ÃµÈ ³»¿ëÀÌ ¸¹´Ù´Â Á¡À» ¾Ë ¼ö ÀÖ´Ù. ¾Ç¼º ÇÑ±Û ¹®¼­ ÆÄÀÏÀÇ Æ÷½ºÆ®½ºÅ©¸³Æ®´Â ¸ðµÎ XOR ¿¬»êÀ¸·Î µðÄÚµùÀ» ¼öÇàÇÑ´Ù.

°ú°Å ¾Ç¼º ÇÑ±Û ÆÄÀÏ°ú À¯»ç¼º ºÐ¼® - ¾Ç¼ºÄÚµå ¹®ÀÚ¿­ ºñ±³
´ÙÀ½Àº ¾Ç¼ºÄÚµåÀÇ ¸í·ÉÁ¦¾î ±â´É Áß µð·ºÅ丮 ³» ÆÄÀÏ ¹× Æú´õ À̸§À» ¼öÁýÇÏ´Â ÄÚµåµéÀÌ´Ù. Ư¡ÀûÀ¸·Î 7.7 µðµµ½º »ç°Ç, Áß¾ÓÀϺ¸ ÇØÅ· »ç°Ç, ¡®Ghost Puppet¡¯¿¡¼­ ÆÄÀÏ ¹× Æú´õ À̸§À» ±¸ºÐÇϱâ À§ÇØ ½Ã±×´Ïó ¹®ÀÚ¿­À» »ç¿ëÇÑ´Ù. ¡®Ghost Puppet¡®¿¡¼­ ¡®Æú´õ¡¯´Â ¡®:FZ:¡¯, ÆÄÀÏÀº ¡®:GY:¡¯, ¼öÁýÀÌ ¿Ï·áµÈ °æ¿ì¿¡´Â ¡®;**;¡¯ ½Ã±×´Ïó(Signature) ¹®ÀÚ¿­À» »ç¿ëÇÑ´Ù. Ư¡ÀûÀ¸·Î °ü·Ã»ç°Ç ¸ðµÎ »ç¿ëÇÑ Æ¯¼ö±âÈ£ ¹× »ç¿ë À§Ä¡°¡ À¯»çÇÏ´Ù.

¡ã±×¸² 8. °¢ »ç°Ç ¾Ç¼ºÄڵ忡¼­ È®ÀεǴ ¼öÁý ½Ã±×´Ïó ¹®ÀÚ¿­[À̹ÌÁö=ESRC]


¸í·ÉÁ¦¾î ±â´É Áß ¸í·É ÇÁ·ÒÇÁÆ®(cmd.exe)¸¦ ½ÇÇàÇÏ´Â Äڵ嵵 À¯»çÇÏ´Ù. 2009³â 7.7 µðµµ½º »ç°Ç¿¡¼­ 2011³â 4¿ù 12ÀÏ ³óÇù ÇØÅ· »ç°Ç¿¡¼­ ¹ß°ßµÈ ¾Ç¼ºÄÚµå´Â ¡®¡®%sd.e%sc "%s > %s", 2012³â 6¿ù Áß¾ÓÀϺ¸ ÇØÅ· »ç°ÇºÎÅÍ ¡®Ghost Puppet¡¯±îÁö´Â ¡®%sd.e%sc "%s > %s" 2>&1¡¯ ¸í·É¾î ¹®ÀÚ¿­À» »ç¿ëÇÑ´Ù. ÇØ´ç ¸í·É¾î ¹®ÀÚ¿­Àº ¸í·ÉÇÁ·ÒÇÁÆ®¿¡¼­ ¸í·É¾î ¼öÇà °á°ú¸¦ ÆÄÀÏ·Î Ãâ·ÂÇÏ´Â ±â´ÉÀ» Çϸç, ¡®2>&1¡¯´Â ¸í·É¾î ½ÇÇà¿¡ µû¸¥ ¿¡·¯ ¸Þ½ÃÁö¸¦ ÆÄÀÏ·Î Ãâ·ÂÇÑ´Ù.

¡ã±×¸² 9. °¢ »ç°Ç º° ¾Ç¼ºÄڵ忡¼­ ¹ß°ßµÈ cmd ¹®ÀÚ¿­[À̹ÌÁö=ESRC]


Áö±Ý±îÁöÀÇ »ç·Ê ¿Ü¿¡µµ µ¿ÀÏÇÑ IoC Äڵ峪 ¸ÞŸ µ¥ÀÌÅ͸¦ »ç¿ëÇÏ´Â À¯»çÇÑ Ä§ÇØ»ç°í°¡ Çѱ¹¿¡¼­´Â ¼ö³â°£ °è¼Ó À̾îÁö°í ÀÖÀ¸¸ç, ESRC´Â ±× º¯È­ °úÁ¤À» Áö¼ÓÀûÀ¸·Î ÃßÀû¡¤¿¬±¸ÇÏ°í ÀÖ´Ù°í ¹àÇû´Ù.
[¿øº´Ã¶ ±âÀÚ(boanone@boannews.com)]

<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>

  •  
  • 0
  • ÆäÀ̽ººÏ º¸³»±â Æ®À§ÅÍ º¸³»±â ³×À̹ö ¹êµå º¸³»±â Ä«Ä«¿À ½ºÅ丮 º¸³»±â ³×À̹ö ºí·Î±× º¸³»±â

  • ¡°
  •  SNS¿¡¼­µµ º¸¾È´º½º¸¦ ¹Þ¾Æº¸¼¼¿ä!! 
  • ¡±
 ÇÏÀÌÁ¨ ÆÄ¿öºñÁî 23³â 11¿ù 16ÀÏ~2024³â 11¿ù 15ÀϱîÁö ¾Æ½ºÆ®·Ð½ÃÅ¥¸®Æ¼ ÆÄ¿öºñÁî 2023³â2¿ù23ÀÏ ½ÃÀÛ À§Áîµð¿£¿¡½º 2018 ³Ý¾Øµå ÆÄ¿öºñÁî ÁøÇà 2020³â1¿ù8ÀÏ ½ÃÀÛ~2021³â 1¿ù8ÀϱîÁö
¼³¹®Á¶»ç
<º¸¾È´º½º>ÀÇ º¸¾ÈÀü¹® ±âÀÚµéÀÌ ¼±Á¤ÇÑ 2024³â ÁÖ¿ä º¸¾È Å°¿öµå °¡¿îµ¥ °¡Àå Æı޷ÂÀÌ Å¬ °ÍÀ¸·Î º¸´Â À̽´´Â?
Á¡Á¡ ´õ Áö´ÉÈ­µÇ´Â AI º¸¾È À§Çù
¼±°ÅÀÇ ÇØ ¸ÂÀº ÇÙƼºñÁò °ø°Ý
´õ¿í °­·ÂÇØÁø ·£¼¶¿þ¾î »ýÅ°è
Á¡Á¡ ´õ ´Ù¾çÇØÁö´Â ½ÅÁ¾ ÇÇ½Ì °ø°Ý
»çȸ±â¹Ý½Ã¼³ °ø°Ý°ú OT º¸¾È À§Çù
´õ¿í ½ÉÇØÁö´Â º¸¾ÈÀη ºÎÁ· ¹®Á¦
Á¦·ÎÆ®·¯½ºÆ®¿Í °ø±Þ¸Á º¸¾È
°¡¼ÓÈ­µÇ´Â Ŭ¶ó¿ìµå·ÎÀÇ Àüȯ°ú ÀÌ¿¡ µû¸¥ º¸¾ÈÀ§Çù
¸ð¹ÙÀÏ È°¿ëÇÑ º¸ÀÎÀÎÁõ È°¼ºÈ­¿Í ÀÎÁõº¸¾È À̽´
AI CCTVÀÇ ¿ªÇÒ È®´ë