[º¸¾È´º½º ¿øº´Ã¶ ±âÀÚ] Áö³ 2019³â 12¿ù û¿Í´ë ³ìÁö¿ø°ú »óÃáÀç Çà»ç °ßÀû¼¸¦ »çĪÇØ APT °ø°ÝÀ» ÁøÇàÇß´ø ¡®±è¼öÅ°(Kimsuky)¡¯ °ø°Ý ±×·ìÀÌ 2¿ù 6ÀÏ ÇÑ ±³À°¿ø °ü°èÀÚÀÇ Áֹεî·Ïµîº»À¸·Î À§ÀåÇÑ APT °ø°ÝÀ» ½ÃÀÛÇÑ °ÍÀ¸·Î ¾Ë·ÁÁ® °ü°èÀÚµéÀÇ ÁÖÀÇ°¡ ¿ä±¸µÈ´Ù. À̽ºÆ®½ÃÅ¥¸®Æ¼ ½ÃÅ¥¸®Æ¼´ëÀÀ¼¾ÅÍ(ESRC)´Â Àü ¡Û¡Û±³À°¿ø °ü°èÀÚÀÇ ½ÇÁ¦ Áֹεî·Ïµîº» PDF ½ºÄµÆÄÀÏó·³ À§ÀåÇÑ APT(Áö´ÉÇüÁö¼ÓÀ§Çù) °ø°ÝÀÌ µîÀåÇß´Ù°í ¹àÇûÀ¸¸ç, ÇØ´ç ¾Ç¼ºÆÄÀÏÀÇ ¾Ë¾à ŽÁö¸í(Trojan.Dropper.1081856K)µµ °ø°³Çß´Ù.
¡ã±è¼öÅ° °ø°Ý±×·ìÀÇ Ã»¿Í´ë ³ìÁö¿ø/»óÃáÀç Çà»ç °ßÀû¼ »çĪ APT °ø°ÝÀÇ 3°¡Áö À¯Çü[ÀÚ·á=ESRC]
À̹ø °ø°ÝÀº Áö³ 2019³â 12¿ù 4ÀÏ °ø°³µÈ ¹Ù ÀÖ´Â ¡®Ã»¿Í´ë ³ìÁö¿ø/»óÃáÀç Çà»ç °ßÀû¼ »çĪ APT °ø°Ý¡¯ÀÇ 3¹ø° º¯Á¾À¸·Î È®ÀεƴÙ. À̽ºÆ®½ÃÅ¥¸®Æ¼°¡ ¡®ºí·ç ¿¡½ºÆ¼¸ÞÀÌÆ®¡¯¶ó À̸§ ºÙÀÎ Ä·ÆäÀÎÀÌ Áö¼ÓµÇ°í ÀÖ´Â °¡¿îµ¥, 2¿ù 6ÀÏ Á¦ÀÛµÈ º¯Á¾Àº ½ÇÁ¦ ¿Â¶óÀο¡¼ ¹ß±ÞµÈ ƯÁ¤ÀÎÀÇ Áֹεî·Ïµîº» ȸéÀ» º¸¿©ÁØ´Ù. ¸¶Ä¡ PDF ¹®¼Ã³·³ 2Áß È®ÀåÀÚ·Î À§ÀåÇÑ ¾Ç¼º ÆÄÀÏÀº ½ÇÁ¦ È¸é º¸È£±â(SCR) È®ÀåÀÚ¸¦ ÅëÇØ EXE ½ÇÇàÆÄÀÏ°ú µ¿ÀÏÇÏ°Ô ½ÇÇàµÈ´Ù. ±×¸®°í ³»ºÎ ¸®¼Ò½º¿¡ Æ÷ÇԵǾî ÀÖ´Â ¡®Áֹεî·Ïµîº».tif¡¯ À̹ÌÁö ÆÄÀÏÀ» »ý¼ºÇÏ°í ·Îµå½ÃŲ´Ù.
¡ã¾Ç¼º ÆÄÀÏÀÌ ½ÇÇàµÈ ÈÄ º¸ÀÌ´Â Áֹεî·Ïµîº» À̹ÌÁö[ÀÚ·á=ESRC]
½ÇÁ¦ º¸ÀÌ´Â Áֹεî·ÏÇ¥¿¡´Â ÀüÁ÷ ¡Û¡Û±³À°¿ø °ü°èÀÚ¿Í °ü·ÃµÈ °ÍÀ¸·Î º¸ÀÌ´Â °³ÀÎÁ¤º¸°¡ ´ã°Ü ÀÖ´Ù. ¡®Áֹεî·Ïµîº».pdf(´Ù¼öÀÇ °ø¹é Æ÷ÇÔ) .scr¡¯¶õ À̸§ÀÇ ¾Ç¼º ÆÄÀÏÀº ³»ºÎ¿¡ ´ÙÀ½°ú °°Àº ¸®¼Ò½º(BINARY) ¿µ¿ªÀ» °¡Áö°í ÀÖÀ¸¸ç, ¸®¼Ò½º À̸§Àº ±âÁ¸ ºí·ç ¿¡½ºÆ¼¸ÞÀÌÆ® Ä·ÆäÀο¡¼ µ¿ÀÏÇÏ°Ô »ç¿ëµÈ´Ù. ±×¸®°í ¾Ç¼º ÆÄÀÏÀÌ Á¦ÀÛµÉ ¶§ Çѱ¹¾î ±â¹ÝÀ¸·Î ¸¸µé¾î Áø °ÍÀ» È®ÀÎÇÒ ¼ö ÀÖ´Ù. ¡®103¡¯ ¿µ¿ª¿¡´Â À̹ÌÁö ÆÄÀÏÀÌ '104' ¿µ¿ª¿¡´Â 64ºñÆ® ¾Ç¼º DLL ÆÄÀÏÀÌ Æ÷ÇԵǾî ÀÖ´Ù.
¡ã¾Ç¼º ÆÄÀÏ ³»ºÎ ¸®¼Ò½º ȸé[ÀÚ·á=ESRC]
À̹ø ¼÷ÁÖ ÆÄÀÏÀº 64ºñÆ® DLL ÆÄÀÏÀ» 'Hero.dll' À̸§À¸·Î »ý¼ºÇÏ°í ½ÇÇàÇÏ°í Àֱ⠶§¹®¿¡ 32ºñÆ® ¿î¿µÃ¼Á¦¿¡¼ ½ÇÇàµÉ °æ¿ì ¿À·ù âÀÌ ¹ß»ýÇÒ ¼ö ÀÖ´Ù. ¾Ç¼º ÆÄÀÏÀº ¡®HelloSidney¡¯ ¹ÂÅؽº(Mutex) °ªÀ» »ç¿ëÇϴµ¥, ÀÌ°ÍÀº ¡®¿À¼º»ç MC2-500 ¿ÜÇüµµ P1307033 Model_¼öÁ¤.pdf(´Ù¼öÀÇ °ø¹é Æ÷ÇÔ) .exe¡¯ ¶§¿Í µ¿ÀÏÇÏ´Ù.
¡ãMutex »ý¼º ȸé[ÀÚ·á=ESRC]
°ú°Å À¯»ç ¿ÀÆÛ·¹À̼ÇÀÇ ÆäÀ̷εå´Â °¢ ¿ÀÆÛ·¹ÀÌ¼Ç º°·Î Â÷À̸¦ º¸ÀÌ°í Àִµ¥, Ư¡ÀûÀ¸·Î C&C, ¹®ÀÚ¿, ±â´É ¹æ½Ä µî¿¡¼ Â÷ÀÌ°¡ Á¸ÀçÇÏÁö¸¸, ¡®¸Æ(MAC) ¾îµå·¹½º ¹× ½Ã¸®¾ó Á¤º¸ ¼öÁý¡¯ ±â´É¿¡¼ °øÅëµÈ Äڵ带 º¸ÀÌ°í ÀÖ´Ù. ƯÈ÷, À̹ø ¡®¿ÀÆÛ·¹ÀÌ¼Ç ºí·ç ¿¡½ºÆ¼¸ÞÀÌÆ® Part3 (Operation Blue Estimate Part3)¡¯¿¡¼´Â ¡®Hero.dll¡¯, ¡®HelloSidney¡¯ µîÀÌ µ¿ÀÏÇÑ °øÅëÁ¡ÀÌ ÀÖÁö¸¸, PDB°¡ Á¦°ÅµÇ¾ú°í C2´Â ¡®mernberinfo.tech (213.190.6.159)¡¯ ÁÖ¼Ò·Î º¯°æµÆÀ½À» ¾Ë ¼ö ÀÖ´Ù.
¡ãC2 Åë½Å ÆÐŶ ȸé[ÀÚ·á=ESRC]
ESRC´Â À̹ø APT °ø°Ý ¹èÈÄ¿¡ ¡®±è¼öÅ°(Kimsuky)¡¯ °ø°Ý ±×·ìÀÌ ¿¬°èµÇ¾î ÀÖ´Â °ÍÀ¸·Î ¹Ï°í ÀÖÀ¸¸ç, º¸´Ù »ó¼¼ÇÑ ºÐ¼®³»¿ëÀº ÃßÈÄ ¡®¾²·¿ ÀλçÀ̵塯ÀÇ À§Çù ÀÎÅÚ¸®Àü½º ¸®Æ÷Æ®·Î º°µµ Á¦°øÇÒ ¿¹Á¤À̶ó°í ¹àÇû´Ù.
[¿øº´Ã¶ ±âÀÚ(boanone@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>