이번 공격, 위협 벡터와 코드 수법이 라자루스 그룹의 암호 화폐 거래 관계자를 노린 위협 활동 범주에 속해
[보안뉴스 원병철 기자] 라자루스 그룹의 공격이 이틀 연속 확인됐다. 통합보안기업 이스트시큐리티(대표 정상원)는 특정 정부가 후원하는 해킹 조직 ‘라자루스(Lazarus)’가 유명 해외 박람회 참관단 참가신청서로 위장한 APT 공격을 수행 중이라고 24일 밝혔다.
이번 공격은 악성 문서 파일이 첨부된 이메일을 특정 대상에게 은밀히 발송하는 일명 스피어 피싱(Spear Phishing) 공격 방식이 사용되었으며, 미국 라스베가스에서 개최 예정인 세계 최대 소비자 가전 박람회인 ‘2020 라스베가스 가전제품 박람회(이하 CES 2020)’ 참관단 참가 신청서를 사칭하고 있다. 실제로 박람회 주최 측은 최근 CES 2020 참관단을 모집했고, 이 모집공고는 10월 18일 마감된 것으로 보인다.
최근 라자루스 그룹의 사이버 위협 활동이 두드러진 가운데, HWP 취약점을 악용한 공격이 꾸준히 발견되고 있다. 이번 가전제품 박람회 참관단 참가신청서로 위장한 공격도 HWP 취약점을 활용해 해당 관계자들의 각별한 주의가 요구된다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)는 “라자루스 그룹이 제작한 것으로 분류된 최신 악성 파일이 오늘(24일) 발견됐으며, 한글 문서 파일이 열릴 때 보안취약점에 따라 추가 악성코드가 다운로드 되어 설치를 시도한다”며, “공격자는 보안 시스템의 탐지를 회피하기 위해 허위 명령 제어(C2) 서버와 통신 행위를 넣어둔 치밀함도 보였다”고 설명했다.
또한 ESRC는 분석 결과 이번 악성코드의 위협 벡터와 코드 수법이 올해 상반기부터 최근까지 발견된 암호 화폐 거래 관계자를 노린 위협 활동 범주에 속해 있어, 관련성 여부에 조사를 집중하고 있다. 더불어 최종적으로 설치되는 페이로드(Payload)는 thevagabondsatchel[.]com C2 서버를 통해 유포되고 있으며, 한국시간으로 2019년 10월 22일 오전 11시 21분에 제작되었다.
그리고 3개의 해외 C2 서버와 추가 통신을 시도하게 되므로, 각 기업과 기관에서는 아래 사이트의 접속 상황을 모니터링하고 차단하는 것도 중요하다.
- https://www.juliesoskin[.]com/includes/common/list.php
- https://www.valentinsblog[.]de/wp-admin/includes/list.php
- https://www.necaled[.]com/modules/applet/list.php
ESRC 센터장 문종현 이사는 “라자루스 APT 그룹이 다양한 내용의 문서 파일로 표적 공격을 수행하고 있다”며, “해당 취약점은 이미 보안패치가 완료된 상태이므로, 이용자들은 사용 중인 한컴 오피스를 최신 버전으로 업데이트하여 유사한 보안 위협에 노출되지 않도록 해야 한다”고 강조했다.
현재 ESRC에서는 피해를 방지하기 위해 공격에 사용된 악성 파일을 면밀히 분석하고 있으며, 상세 분석 내용은 자사의 인텔리전스 기반 악성코드 위협 대응 솔루션 ‘쓰렛인사이드(Threat Inside)’에 공개할 예정이다. 또한 이번 악성코드는 백신 프로그램 ‘알약(ALYac)’에서 탐지명 ‘Exploit.HWP.Agent’로 차단하고 있다.
[원병철 기자(boanone@boannews.com)]
[보안뉴스 원병철 기자] 라자루스 그룹의 공격이 이틀 연속 확인됐다. 통합보안기업 이스트시큐리티(대표 정상원)는 특정 정부가 후원하는 해킹 조직 ‘라자루스(Lazarus)’가 유명 해외 박람회 참관단 참가신청서로 위장한 APT 공격을 수행 중이라고 24일 밝혔다.
▲‘CES2020 참관단.hwp’ 악성 문서 실행 시 보이는 화면[자료제공=이스트시큐리티]
이번 공격은 악성 문서 파일이 첨부된 이메일을 특정 대상에게 은밀히 발송하는 일명 스피어 피싱(Spear Phishing) 공격 방식이 사용되었으며, 미국 라스베가스에서 개최 예정인 세계 최대 소비자 가전 박람회인 ‘2020 라스베가스 가전제품 박람회(이하 CES 2020)’ 참관단 참가 신청서를 사칭하고 있다. 실제로 박람회 주최 측은 최근 CES 2020 참관단을 모집했고, 이 모집공고는 10월 18일 마감된 것으로 보인다.
최근 라자루스 그룹의 사이버 위협 활동이 두드러진 가운데, HWP 취약점을 악용한 공격이 꾸준히 발견되고 있다. 이번 가전제품 박람회 참관단 참가신청서로 위장한 공격도 HWP 취약점을 활용해 해당 관계자들의 각별한 주의가 요구된다.
이스트시큐리티 시큐리티대응센터(이하 ESRC)는 “라자루스 그룹이 제작한 것으로 분류된 최신 악성 파일이 오늘(24일) 발견됐으며, 한글 문서 파일이 열릴 때 보안취약점에 따라 추가 악성코드가 다운로드 되어 설치를 시도한다”며, “공격자는 보안 시스템의 탐지를 회피하기 위해 허위 명령 제어(C2) 서버와 통신 행위를 넣어둔 치밀함도 보였다”고 설명했다.
▲허위 명령 제어 서버와 통신을 시도하는 화면[자료=이스트시큐리티]
또한 ESRC는 분석 결과 이번 악성코드의 위협 벡터와 코드 수법이 올해 상반기부터 최근까지 발견된 암호 화폐 거래 관계자를 노린 위협 활동 범주에 속해 있어, 관련성 여부에 조사를 집중하고 있다. 더불어 최종적으로 설치되는 페이로드(Payload)는 thevagabondsatchel[.]com C2 서버를 통해 유포되고 있으며, 한국시간으로 2019년 10월 22일 오전 11시 21분에 제작되었다.
그리고 3개의 해외 C2 서버와 추가 통신을 시도하게 되므로, 각 기업과 기관에서는 아래 사이트의 접속 상황을 모니터링하고 차단하는 것도 중요하다.
- https://www.juliesoskin[.]com/includes/common/list.php
- https://www.valentinsblog[.]de/wp-admin/includes/list.php
- https://www.necaled[.]com/modules/applet/list.php
ESRC 센터장 문종현 이사는 “라자루스 APT 그룹이 다양한 내용의 문서 파일로 표적 공격을 수행하고 있다”며, “해당 취약점은 이미 보안패치가 완료된 상태이므로, 이용자들은 사용 중인 한컴 오피스를 최신 버전으로 업데이트하여 유사한 보안 위협에 노출되지 않도록 해야 한다”고 강조했다.
현재 ESRC에서는 피해를 방지하기 위해 공격에 사용된 악성 파일을 면밀히 분석하고 있으며, 상세 분석 내용은 자사의 인텔리전스 기반 악성코드 위협 대응 솔루션 ‘쓰렛인사이드(Threat Inside)’에 공개할 예정이다. 또한 이번 악성코드는 백신 프로그램 ‘알약(ALYac)’에서 탐지명 ‘Exploit.HWP.Agent’로 차단하고 있다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
.jpg)
.jpg)
.jpg)
