2020-04-07 22:50 (화)
김수키 해킹조직, 실제 주민등록등본 파일 사용해 APT 공격 시도…주의
상태바
김수키 해킹조직, 실제 주민등록등본 파일 사용해 APT 공격 시도…주의
  • 길민권 기자
  • 승인 2020.02.07 13:54
이 기사를 공유합니다

'김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례의 3번째 변종으로 확인
악성 파일이 실행된 후 보여지는 주민등록등본 이미지 화면
악성 파일이 실행된 후 보여지는 주민등록등본 이미지 화면

2월 6일, 북한 정부 후원 해킹조직으로 추정되는 김수키 공격그룹이 특정 교육원 관계자의 실제 주민등록등본 PDF 스캔파일처럼 위장해 APT(지능형지속위협) 공격을 진행하는 정황이 포착됐다.

이스트시큐리티 ESRC에 따르면, 이번 공격은 지난 2019년 12월 4일 공개된 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례의 3번째 변종으로 확인되었다고 전했다.

블루 에스티메이트 캠페인이 지속되고 있는 가운데, 2020년 2월 6일 제작된 변종은 실제 온라인에서 발급된 특정인의 주민등록등본 화면을 보여주고 있다.

마치 PDF 문서처럼 2중 확장자로 위장한 악성 파일은 실제 화면 보호기(SCR) 확장자를 통해 EXE 실행파일과 동일하게 실행된다. 그리고 내부 리소스에 포함되어 있는 '주민등록등본.tif' 이미지 파일을 생성하고 로드시킨다.

실제 보여지는 주민등록표에는 전직 ○○교육원 관계자와 관련된 것으로 보이는 개인정보를 담고 있다.

'주민등록등본.pdf(다수의 공백 포함) .scr' 악성 파일은 내부에 아래와 같은 리소스(BINARY) 영역을 가지고 있으며, 리소스 이름은 기존 블루 에스티메이트 캠페인에서 동일하게 사용된다.

악성 파일 내부 리소스 화면
악성 파일 내부 리소스 화면

그리고 악성 파일이 제작될 때 한국어 기반으로 만들어 진 것을 확인할 수 있다.

'103' 영역에는 이미지 파일이 '104' 영역에는 64비트 악성 DLL 파일이 포함되어 있다.

이번 숙주 파일은 64비트 DLL 파일을 'Hero.dll' 이름으로 생성하고 실행하고 있기 때문에 32비트 운영체제에서 실행될 경우 오류 창이 발생할 수 있다.

악성 파일은 'HelloSidney' 뮤텍스(Mutex) 값을 사용하는데, 이 것은 '오성사 MC2-500 외형도 P1307033 Model_수정.pdf(다수의 공백 포함) .exe' 때와 동일하다.

과거 유사 오퍼레이션의 페이로드는 각 오퍼레이션 별로 차이를 보이고 있는데, 특징적으로 C&C, 문자열, 기능 방식 등에서 차이가 존재하지만, ‘맥(MAC) 어드레스 및 시리얼 정보 수집’ 기능에서 공통된 코드를 보이고 있다.

이번 '오퍼레이션 블루 에스티메이트 Part3 (Operation Blue Estimate Part3)'에서는 'Hero.dll', 'HelloSidney' 등이 동일한 공통점이 있지만, PDB가 제거되었고 C2는 'mernberinfo.tech (213.190.6.159)' 주소로 변경되었다.

ESRC 측은 “이번 APT 공격 배후에 '김수키(Kimsuky)' 조직이 연계되어 있는 것으로 믿고 있으며, 보다 상세한 분석내용은 추후 '쓰렛 인사이드'의 위협 인텔리전스 리포트로 별도 제공할 예정”이라고 밝혔다.

★정보보안 대표 미디어 데일리시큐!★