ÃֽŴº½º
±è¼öÅ° ÇØÅ·±×·ì, ¿ÀÅäÀÕ »ç¿ëÇØ ¾Ç¼ºÄÚµå Á¦ÀÛ ¹× À¯Æ÷Áß | 2023.12.05 |
¿ø°Ý Á¦¾î ÀÌ¿ëÇÑ ¾Ç¼ºÄÚµå´Â ¿ÃÇØ »çÀ̹ö °ø°Ý¿¡ ²ÙÁØÈ÷ »ç¿ëµÇ°í ÀÖ¾î ¾È·¦ ASEC ºÐ¼®ÆÀ, ±è¼öÅ° ÇØÅ·±×·ìÀÇ ÃÖ±Ù °ø°Ý »ç·Ê ºÐ¼® [º¸¾È´º½º ±è¿µ¸í ±âÀÚ] ±è¼öÅ°(Kimsuky) ÇØÅ·±×·ìÀº ÃÖÃÊ Ä§Åõ °úÁ¤ ÀÌÈÄ °¨¿° ½Ã½ºÅÛÀ» Á¦¾îÇϱâ À§ÇØ ¿ø°Ý Á¦¾î ¾Ç¼ºÄÚµåµéÀ» ¼³Ä¡ÇÑ´Ù. ±è¼öÅ° ÇØÅ·±×·ìÀÌ »ç¿ëÇÏ´Â ¾Ç¼ºÄÚµåµé·Î´Â ¾ÖÇýõå(AppleSeed), Æäºí´ë½Ã(PebleDash) µî°ú °°ÀÌ Á÷Á¢ Á¦ÀÛÇÑ À¯Çüµé ¿Ü¿¡µµ ¿¢½º·§(XRat), HVNC, ¾Æ¸¶µð(Amadey), ¸ÞŸ½ºÇ÷ÎÀÕ ¹ÌÅÍÇÁ¸®ÅÍ(Metasploit Meterpreter) µî ¿ÀǼҽºÀ̰ųª ÆǸŠÁßÀÎ ¾Ç¼ºÄÚµåµéÀÌ ÀÖ´Ù. Á¦¾î¸¦ Å»ÃëÇÑ ÀÌÈÄ¿¡´Â ÃÖÁ¾ÀûÀ¸·Î RDP¸¦ È°¿ëÇϰųª ±¸±ÛÀÇ Å©·Ò ¿ø°Ý µ¥½ºÅ©ÅéÀ» ¼³Ä¡ÇØ °¨¿° ½Ã½ºÅÛÀÇ Á¤º¸¸¦ Å»ÃëÇÑ´Ù. [À̹ÌÁö=gettyimagesbank] ¾È·¦ ASEC ºÐ¼®ÆÀÀÌ ÃÖ±Ù À¯Æ÷µÈ ¾Æ¸¶µð¿Í RftRAT ¾Ç¼ºÄڵ带 ºÐ¼®ÇßÀ» ¶§ ƯÈ÷, ÃÖ±Ù¿¡´Â ¿ÀÅäÀÕ(AutoIt)À¸·Î Á¦ÀÛµÈ ÇüÅ°¡ È®ÀεƴÙ. ¿ø°Ý Á¦¾î ¸ñÀûÀÇ ¾Ç¼ºÄÚµå´Â ²ÙÁØÈ÷ º¯°æµÆÁö¸¸, À̸¦ ÀÌ¿ëÇØ ¼³Ä¡ÇÏ´Â ¾Ç¼ºÄÚµåµéÀº ¿Ã ÇÑ ÇØ Å« º¯È ¾øÀÌ °ø°Ý¿¡ ²ÙÁØÈ÷ »ç¿ëµÆ´Ù. Ãʱâ ħÅõ ¹æ½ÄÀº Å©°Ô ½ºÇǾîÇÇ½Ì ¹æ½Ä°ú LNK ¾Ç¼ºÄÚµå ¹æ½ÄÀ¸·Î ³ª´¶´Ù. ½ºÇǾî ÇÇ½Ì °ø°ÝÀº ¿Ã ÇÑ ÇØ µ¿¾È ¡âÁ¤»ó ÇÑ±Û ¹®¼¸¦ À§ÀåÇÑ ¾Ç¼º ¸µÅ© ÆÄÀÏ(LNK) ¡â±¹¼¼Ã»À» »çĪÇÑ ¾Ç¼º LNK À¯Æ÷ ¡â±â¾÷ È«º¸¹° Á¦ÀÛÀ» À§ÀåÇÑ ¾Ç¼º LNK À¯Æ÷ µî ´Ù¾çÇÑ ¹æ½ÄÀ¸·Î LNK ¾Ç¼ºÄڵ带 À¯Æ÷Çß´Ù. °ø°ÝÀÚ´Â À̸ÞÀÏ¿¡ ÆÄÀÏÀ» ÷ºÎÇϰųª ´Ù¿î·Îµå ¸µÅ©¸¦ ÷ºÎÇØ »ç¿ëÀÚ°¡ ¾ÐÃà ÆÄÀÏÀ» ´Ù¿î·ÎµåÇÏ°í ³»ºÎ¿¡ Á¸ÀçÇÏ´Â LNK ¹Ù·Î°¡±â ÆÄÀÏÀ» ½ÇÇàÇϵµ·Ï À¯µµÇß´Ù. ¡ã¾ÐÃà ÆÄÀÏ¿¡ Æ÷ÇÔµÈ LNK ¾Ç¼ºÄÚµå[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ] LNK ¾Ç¼ºÄÚµå ÆÄÀÏÀÇ ³»ºÎ¿¡´Â ¾ÏÈ£ÈµÈ ÇüÅ·ΠÀúÀåµÈ ¾ÐÃà ÆÄÀÏÀÌ Á¸ÀçÇϸç, ÇØ´ç ¾ÐÃà ÆÄÀÏ¿¡´Â ´Ù¾çÇÑ ½ºÅ©¸³Æ® ¾Ç¼ºÄÚµåµéÀÌ Á¸ÀçÇÑ´Ù. LNK¸¦ ½ÇÇàÇϸé ÇØ´ç ¾ÐÃà ÆÄÀÏÀÇ ¾ÐÃàÀÌ ÇØÁ¦µÇ°í ÃÖÁ¾ÀûÀ¸·Î ½ºÅ©¸³Æ® ¾Ç¼ºÄڵ尡 ½ÇÇàµÈ´Ù. ³»ºÎ¿¡ Á¸ÀçÇÏ´Â BAT, VBS ½ºÅ©¸³Æ®´Â ÀÎÆ÷½ºÆ¿·¯°¡ ÀÖÀ¸¸ç, Ãß°¡ ÆäÀ̷ε带 ¿ÜºÎ¿¡¼ ´Ù¿î·ÎµåÇØ ½ÇÇàÇÏ´Â ´Ù¿î·Î´õµµ ÀÖ´Ù. ÃÖ±Ù¿¡´Â ¿ÀÅäÀÕÀ¸·Î Á¦ÀÛÇÑ Amadey¿Í RftRATÀÌ »ç¿ëµÇ´Â °ÍÀÌ Æ¯Â¡ÀÌ´Ù. ¿ø°Ý Á¦¾î ¾Ç¼ºÄڵ忡´Â ¿¢½º·§(QuasarRAT)°ú ¾Æ¸¶µð°¡ ÀÖ´Ù. ¸ÕÀú, ¿¢½º·§Àº ´å³ÝÀ¸·Î °³¹ßµÈ RAT ¾Ç¼ºÄÚµå·Î¼ ±êÇãºê¿¡ °ø°³µÅ ÀÖ´Â QuasarRATÀ» ±â¹ÝÀ¸·Î Á¦À۵ƴÙ. ±è¼öÅ° ±×·ìÀÌ XRatÀ» »ç¿ëÇÑ °ÍÀº ÈξÀ °ú°ÅºÎÅÍ È®Àεǰí ÀÖÁö¸¸, ÃÖ±Ù¿¡´Â ´Üµ¶ ½ÇÇà ÆÄÀÏÀ̳ª DLLÀÌ ¾Æ´Ï¶ó ¾ÏÈ£ÈµÈ ÆäÀ̷εå ÇüÅ·Π°ø°Ý¿¡ »ç¿ëÇÏ´Â °ÍÀÌ Æ¯Â¡ÀÌ´Ù. ±è¼öÅ° ÇØÅ·±×·ìÀº ÀÌ¿Ü¿¡ ¾Æ¸¶µðº¿µµ °ø°Ý¿¡ »ç¿ëÇß´Ù. ¾Æ¸¶µð´Â ºÒ¹ý Æ÷·³¿¡¼ ÆǸŵDZ⠽ÃÀÛÇÑ ¾Ç¼ºÄÚµå·Î¼ C&C ¼¹ö·ÎºÎÅÍ Ãß°¡ ¾Ç¼ºÄڵ带 ¼³Ä¡ÇÏ´Â ´Ù¿î·Î´õ´Ù. ¾Æ¸¶µðº¿Àº ´Ù¿î·Î´õ ¿Ü¿¡ °¨¿° ½Ã½ºÅÛÀÇ ±âº»ÀûÀÎ Á¤º¸ Àü¼Û, ¼³Á¤ ¹× Ç÷¯±×ÀÎ ¼³Ä¡ ¿©ºÎ¿¡ µû¶ó ½ºÅ©¸°¼¦, À¥ ºê¶ó¿ìÀú³ª À̸ÞÀÏ Å¬¶óÀ̾ðÆ®¿¡ ÀúÀåµÈ °èÁ¤Á¤º¸µµ Å»ÃëÇÑ´Ù. ¡ãPublic °æ·Î¿¡ »ý¼ºµÈ Amadey ¿¬°ü ÆÄÀϵé[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ] °ø°ÝÀÚ´Â ¿Ã ÇÑÇØ¿¡µµ ´Ù¼öÀÇ °ø°ÝÀ» ÅëÇØ ¾Æ¸¶µðº¿À» ¼³Ä¡ÇßÀ¸¸ç ´ëºÎºÐ µ¿ÀÏÇÑ ÇüÅÂÀÇ µå·ÎÆÛ ¾Ç¼ºÄڵ尡 À̸¦ ¼³Ä¡Çß´Ù. ÇØ´ç µå·ÎÆÛ ¾Ç¼ºÄÚµå·Î´Â RftRAT ¾Ç¼ºÄڵ尡 ¾Ç¿ëµÆ´Ù. ÃÖ±Ù¿¡´Â ±è¼öÅ° ÇØÅ·±×·ìÀÌ ¿ÀÅäÀÕÀ» ÀÌ¿ëÇØ ¾Ç¼ºÄڵ带 Á¦ÀÛÇÏ´Â °ÍÀÌ È®ÀεƴÙ. ÀÌÀüºÎÅÍ »ç¿ëÇÏ´ø ¾Æ¸¶µð¸¦ ¿ÀÅäÀÕÀ¸·Î Æ÷ÆÃÇØ Á¦ÀÛÇßÀ¸¸ç, RftRATÀ» ÀÎÁ§¼ÇÇÏ´Â ¿ëµµ·Îµµ »ç¿ëÇß´Ù. ¸ÕÀú, ±è¼öÅ° ÇØÅ·±×·ìÀÌ »ç¿ëÇÑ ¾Æ¸¶µð´Â ÀÏ¹Ý °ø°ÝÀÚµéÀÌ »ç¿ëÇÏ´ø À¯Çü°ú ´Ù¸£°Ô ´ëÇ¥ÀûÀ¸·Î DGA(Domain Generation Algorithms)¸¦ »ç¿ëÇÏ°í, °¨¿° ½Ã½ºÅÛ¿¡ ¼³Ä¡µÈ ¾ÈƼ¹ÙÀÌ·¯½º¸¦ °Ë»çÇÒ ¶§ ±¹³» ¾÷üµéÀÇ À̸§ÀÌ Á¸ÀçÇѴٴ Ư¡ÀÌ ÀÖ´Ù. À̹ø¿¡ È®ÀÎµÈ ¾Æ¸¶µð´Â ¿ÀÅäÀÕ ¾ð¾î·Î Æ÷ÆõÆÀ¸¸ç, ÀÌÀü °ø°Ý »ç·Ê¿¡¼ È®ÀεǴ À¯Çüµé°ú °°Àº ÇüÅ´Ù. °ø°Ý¿¡ »ç¿ëµÈ ¿ÀÅäÀÕ ½ºÅ©¸³Æ® Áß¿¡´Â RftRATµµ ÀÖ´Ù. ¿ÀÅäÀÕ ½ÇÇà ÆÄÀÏ°ú ¾Ç¼º ¿ÀÅäÀÕ ½ºÅ©¸³Æ®´Â µå·ÎÆÛ ¾Ç¼ºÄڵ带 ÅëÇØ »ý¼ºµÇ±âµµ ÇÑ´Ù. Âü°í·Î µ¿ÀÏÇÑ ½Ã½ºÅÛÀº ÀÌÈÄ ±è¼öÅ° ÇØÅ·±×·ìÀÇ ´Ù¸¥ ¾Ç¼ºÄÚµåÀÎ ¾ÖÇýõ尡 Ãß°¡·Î ¼³Ä¡µÇ±âµµ Çß´Ù. ¡ã±è¼öÅ° ÇØÅ·±×·ìÀÇ °ø°Ý ·Î±×[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ] ÄÄÆÄÀÏµÈ ¿ÀÅäÀÕ ½ºÅ©¸³Æ®ÀÇ ½ÇÁúÀûÀÎ ±â´ÉÀº svchost.exe¸¦ ½ÇÇàÇÏ°í ¿©±â¿¡ RftRATÀ» ÀÎÁ§¼ÇÇÏ´Â ÀÎÁ§ÅÍ´Ù. ÃÖÁ¾ ÆäÀ̷εåÀÎ RftRATÀº ´Üµ¶À¸·Î´Â ½ÇÇàÀÌ ºÒ°¡´ÉÇϸç, ¸ÅÇÎµÈ Æ¯Á¤ À̸§ÀÇ ÆÄÀÏ¿¡¼ µ¥ÀÌÅ͸¦ Àоî¿Í¾ß ÇÑ´Ù. °ü¸®ÀÚ ±ÇÇÑÀ¸·Î ½ÇÇàµÈ RftRATÀº °¨¿° ½Ã½ºÅÛÀÇ ±âº» Á¤º¸¸¦ ¼öÁýÇÏ°í C&C ¼¹ö¿¡ Àü¼ÛÇÑ´Ù. ±× ÀÌÈÄ C&C ¼¹ö¿¡¼ ¸í·ÉÀ» Àü´Þ¹Þ´Â RftRATÀº ÇØ´ç ¸í·ÉÀ» ƯÁ¤ °æ·Î¿¡ ¾²°í À̸¦ º¹È£ÈÇÑ´Ù. º¹È£ÈÇÑ °á°ú´Â ½ÇÁ¦ ¸í·ÉÀε¥ À̸¦ µ¿ÀÏÇÑ ÆÄÀÏ¿¡ ¾²°í ´Ù½Ã Àоî¿Í »ç¿ëÇÑ´Ù. ±è¼öÅ° ÇØÅ·±×·ìÀº Á¦¾î¸¦ Å»ÃëÇÑ ÀÌÈÄ¿¡µµ Å°·Î°Å, À¥ ºê¶ó¿ìÀú °èÁ¤ ¹× ÄíÅ° Á¤º¸ ÃßÃâ µµ±¸ µî ´Ù¾çÇÑ ¾Ç¼ºÄڵ带 ¼³Ä¡ÇØ °¨¿° ½Ã½ºÅÛÀÇ Á¤º¸¸¦ Å»ÃëÇÑ´Ù. Å°·Î°Å´Â ½Ã½ºÅÛ¿¡ »óÁÖÇÏ¸é¼ »ç¿ëÀÚÀÇ Å° ÀÔ·ÂÀ» ¸ð´ÏÅ͸µÇØ Æ¯Á¤ °æ·Î¿¡ ÀúÀåÇÑ´Ù. À¥ ºê¶ó¿ìÀú °ü·Ã Á¤º¸ ¼öÁý ¾Ç¼ºÄÚµå´Â ƯÁ¤ °æ·Î¿¡ ¡®GBIA.exe¡¯, ¡®GBIC.exe¡¯, ¡®GBS.exe¡¯, ¡®GPIA.dll¡¯ µîÀÇ À̸§À¸·Î »ý¼ºµÆ´Ù. ¡ãÀ¥ ºê¶ó¿ìÀú °èÁ¤ Á¤º¸ Å»Ãë[ÀÚ·á=¾È·¦ ASEC ºÐ¼®ÆÀ] ±è¼öÅ° ÇØÅ·±×·ìÀº Á¤º¸ Å»Ã븦 À§ÇØ RDP¸¦ ¾Ç¿ëÇÏ´Â °æ¿ì°¡ ¸¹´Ù´Â Ư¡ÀÌ ÀÖ´Ù. ÀÌ¿¡ µû¶ó RDP Wrapper¸¦ ¼³Ä¡Çϰųª ¸ÖƼ ¼¼¼ÇÀ» À§ÇÑ ÆÐÄ¡ ¾Ç¼ºÄڵ带 »ç¿ëÇϱ⵵ ÇÑ´Ù. ÃÖ±Ù¿¡´Â »ç¿ëÀÚÀÇ ·Î±×¿Â ±â·ÏÀ» ¸ð´ÏÅ͸µÇÏ´Â ¾Ç¼ºÄڵ嵵 È®Àεǰí ÀÖ´Ù. °ø°ÝÀÚ´Â ÀÌ¿Ü¿¡µµ ÇÁ·Ï½Ã(Proxy) ¾Ç¼ºÄڵ嵵 »ç¿ëÇß´Ù. ±âº» ¼³Á¤ ÁÖ¼Ò¿¡ RDPÀÇ Æ÷Æ® ¹øÈ£ÀÎ 3389°¡ ¼³Á¤µÅ ÀÖ´Â °ÍÀ» º¸¸é »ç¼³ ³×Æ®¿öÅ©¿¡ RDP ¿¬°áÀ» À§ÇÑ ¸ñÀûÀ¸·Î ÃßÁ¤µÈ´Ù. ±è¼öÅ° ÇØÅ·±×·ìÀº ±¹³» »ç¿ëÀÚ¸¦ ´ë»óÀ¸·Î Áö¼ÓÀûÀ¸·Î ½ºÇǾî ÇÇ½Ì °ø°ÝÀ» ¼öÇàÇß´Ù. ÃÖ±Ù¿¡´Â ´Ù¾çÇÑ ÁÖÁ¦¸¦ ÀÌ¿ëÇÑ ¾Ç¼º LNK ÆÄÀÏÀÇ À¯Æ÷µÇ°í ÀÖ¾î »ç¿ëÀÚµéÀÇ ÁÖÀÇ°¡ ÇÊ¿äÇÏ´Ù. ¾È·¦ ASEC ºÐ¼®ÆÀÀº ¡°±è¼öÅ° ÇØÅ·±×·ìÀº °¨¿° ½Ã½ºÅÛÀ» Á¦¾îÇÏ°í Á¤º¸¸¦ Å»ÃëÇϱâ À§ÇØ ´Ù¾çÇÑ ¾Ç¼ºÄÚµåµéÀ» »õ·Ó°Ô Á¦ÀÛÇØ »ç¿ëÇÏ°í ÀÖ´Ù¡±¸ç ¡°ÃÖ±Ù¿¡´Â º¸¾È Á¦Ç°À» ¿ìȸÇϱâ À§ÇØ ¿ÀÅäÀÕÀ» ÀÌ¿ëÇØ ¾Ç¼ºÄڵ带 Á¦ÀÛÇÏ°í ÀÖ´Ù¡±°í ¸»Çß´Ù. ÀÌ¾î ¡°»ç¿ëÀÚ´Â ¸ÞÀÏÀÇ ¹ß½ÅÀÚ¸¦ ²Ä²ÄÈ÷ È®ÀÎÇØ¾ß Çϸç Ãâó°¡ ºÒºÐ¸íÇÑ ÆÄÀÏÀÇ °æ¿ì ¿¶÷À» ÀÚÁ¦ÇØ¾ß ÇÑ´Ù¡±¸ç ¡°OS¿Í ÀÎÅÍ³Ý ºê¶ó¿ìÀú µîÀÇ ÃֽŠÆÐÄ¡ ¹× ¹é½Å ¾÷µ¥ÀÌÆ®·Î ¾Ç¼ºÄÚµåÀÇ °¨¿°À» »çÀü¿¡ Â÷´ÜÇØ¾ß ÇÑ´Ù¡±°í µ¡ºÙ¿´´Ù. [±è¿µ¸í ±âÀÚ(boan@boannews.com)] <ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö> |
|