최근 북한 정부 후원 사이버 공격그룹 APT43이 다단계 공격 체인을 활용해 시그니처 기반 안티 바이러스 탐지 기술 회피에 집중하고 있다고 지니언스 시큐리티 센터(이하 GSC)가 경고했다.특히, 합법적으로 널리 쓰이는 드롭박스(DropBox) 클라우드 저장소를 마치 공격 거점으로 활용해 위협 모니터링 범위에서 탈피하기 위한 전술 노력도 시도 중이라고 전했다.2024년 1분기를 기준으로 한국내 APT 공격 활성도는 높음 수준을 유지하며, 스피어 피싱의 경우 '바로가기(LNK)' 타입의 공격이 지속돼 각별한 주의가 요구된다.측은, 먼저

최근 마이크로소프는 중국 해커들이 미국과 대만에서 사회적 긴장을 고조시키기 위한 표적 캠페인에 인공지능(AI)을 활용하고 있다는 조사 결과를 공개했다.이 보고서에 따르면, 공격자들은 AI로 생성된 콘텐츠를 활용해 불화를 조장하고 논쟁적인 이슈에 대한 여론에 영향을 미치고 있다.마이크로소프트의 연구에 따르면, 중국과 연계된 작전은 특히 미국 선거를 앞두고 분열적인 국내 문제를 증폭시키기 위해 생성 AI를 활용하기 시작했다. 이러한 캠페인은 주로 갈등을 유발하고 인식을 조작하기 위해 시각적으로 매력적인 콘텐츠를 만드는 데 중점을 둔다.

국가정보원은 3월 25일부터 29일까지 사이버위협 대응차원에서 전국 주요 정보통신기반시설 정보보호담당자 대상 설명회를 진행 중이다.이번 설명회는 최근 북한 등이 우리 국민 다수가 사용 중인 보안-인증 SW 취약점을 악용하여 해킹하려는 시도가 지속 포착되고 있어 선제적으로 기반시설을 보호하기 위해 마련됐다.특히, 지난 19일 ‘제30차 정보통신기반보호위’에선 “다가오는 선거를 겨냥한 사이버 도발 가능성에 보안 공백이 발생하지 않도록 민간과 공공의 역량을 결집하자”는 논의가 이뤄진 바 있다.미국 역시, 올해 대선을 앞두고 사이버인프라보

지난 설날 연휴가 끝나가는 2024년 2월 12일부터 2월 말까지 수행된 다수의 북한 정부 후원 APT37 그룹 소행 사이버 위협 캠페인이 확인됐다.이들은 △라자루스(Lazarus) △김수키(Kimsuky) △코니(Konni) 등과 함께 한국을 대상으로 한 주요 국가배후 위협 그룹 중 하나다. APT37은 주로 북 인권단체, 북한 취재 기자, 탈북민 등 주로 대북분야 종사자를 겨냥해 지속적으로 스피어 피싱을 수행 중이다.지니언스 시큐리티 센터(이하 GSC)는 실제 사례별 심층 분석을 통해 LNK 파일에 내장된 파워쉘 명령이 초기 공

로그프레소(대표 양봉열)가 2024년 3월 CTI(Cyber Threat Intelligence) 월간 리포트를 발행했다고 25일 밝혔다.CTI는 사이버 공격 관련 정보를 수집하고 분석해 사이버 위협에 신속하고 정확하게 대응하고자 가공한 형태의 정보다.로그프레소는 3월 CTI 리포트에서 2월 악성 봇 감염이 글로벌 기준 전월 대비 78.01% 증가했다고 전했다. 악성 봇 감염으로 국내외 이커머스 서비스의 크리덴셜이 지속적으로 유출되고 있으며, 2차 피해 방지를 위한 노력이 필요한 실정이다.로그프레소 관계자는 “이커머스 서비스 사업자

북한의 악명 높은 라자루스 해킹 그룹이 블록체인 기술의 탈중앙화 특성을 악용하여 악명 높은 토네이도 캐시 믹싱 서비스를 통해 훔친 자금을 세탁하는 등 암호화폐 세탁에 대한 새로운 행태가드러났다. 이는 지난 11월 HTX 암호화폐 거래소에서 1억 2,250만 달러를 탈취한 사건에 이어 나온 것으로, 이 중 상당 부분이 토네이도 캐시를 통해 세탁된 것으로 밝혀졌다.엘립틱 블록체인 연구원들은 라자루스 그룹의 최근 움직임이 11월 미국 재무부가 신바드(Sinbad.io)에 부과한 제재 이후 토네이도 캐시로 회귀한 것이라고 말하며, 라자루스

오아시스 시큐리티(대표 김근용)가 자사 AGATHA(아가사) CTI 서비스를 통해 중국 국가배후 해킹그룹이 사용하는 것으로 알려진 Keyplug 백도어의 경유지 중에 미국 연방수사국(FBI)의 유사 도메인을 사용한 흔적을 발견했다고 밝혔다.‘Keyplug’는 2022년에 미국 정부를 대상으로 공격한 이력이 존재하며, 이번에 발견된 악성 도메인은 미국 연방수사국의 도메인과 유사한 만큼 주의가 필요하다. 특히, 이번에 발견된 악성 도메인은 다수의 서브 도메인이 존재하며, Keyplug 외에도 PlugX, Cobalt Strike 등의

북한 해킹그룹이 최근 국내 대기업을 대상으로 사이버공격을 감행한 정황이 포착됐다. 추가적인 공격도 예상되는 상황이라 각별한 주의가 요구된다.오아시스 시큐리티(대표 김근용)가 자사 CTI 서비스인 AGATHA(아가사)를 통해 북한 해킹그룹이 국내 기업을 대상으로 공격하여 파일을 탈취한 정황을 포착했다고 밝혔다.북한 해킹그룹은 국내 기업을 대상으로 공격에 성공한 후 자료를 탈취하여 경유지 서버에 전송하였다. 해당 기업은 보안 소프트웨어를 개발하는 계열사를 포함하여 에너지, 중공업, 전자, 정보기술 등 다수의 계열사를 보유하고 있는 것으

북한 사이버 해킹 그룹 킴수키 조직의 사이버 공격 캠페인이 발견됐다. 이 그룹은 널리 사용되는 원격 지원 도구인 스크린컨넥트(ScreenConnect)의 취약점을 활용하여 전 세계 조직을 대상으로 공격을 시작했으며, ToddlerShark라는 새로운 멀웨어 변종을 배포하기 시작했다.킴수키는 스크린커넥트에서 CVE-2024-1708과 CVE-2024-1709라는 두 가지 중요한 취약점을 익스플로잇했다. 이러한 취약점을 통해 공격자는 인증을 우회하고 취약한 서버에서 원격 코드를 실행할 수 있다. ScreenConnect의 개발사인 컨넥

최근 북한 해킹그룹이 국내 가상화폐 및 포털 사이트 접근 계정을 탈취하기 위해 공격을 시도한 정황이 포착됐다.오아시스 시큐리티(대표 김근용)는 최근 자사 CTI 서비스 ‘AGATHA(아가사)’를 통해 북한 해킹그룹의 가상화폐 및 포털 사이트 접근 계정 탈취를 위한 공격을 포착했다고 6일 밝혔다.오아시스 시큐리티에 따르면, 공격에 사용된 경유지 서버는 말레이시아 IP로 확인되며, 다수의 도메인을 지속적으로 변경하면서 사용하고 있다고 설명했다. 경유지 서버에서 포털 사이트(구글, 네이버, 카카오) 접속 계정과 공격당한 사용자의 아이피

국정원은 지난해 하반기부터 최근까지 북한이 국내 반도체 장비업체들을 대상으로 사이버 공격에 집중하고 있는 사실을 포착하고, 관련 업계에 주의를 당부했다.북한 해킹조직은 서버가 인터넷에 연결되어 취약점이 노출된 업체들을 공략했다. 문서 등 자료관리에 사용되는 해당 업체의 업무용 서버들이 해커의 표적이 되었다.이들은 ‘악성코드’ 사용을 최소화하고, 서버 내 설치된 정상 프로그램을 활용하여 공격하는 ‘LotL(Living off the Land)’ 기법을 주로 구사했다. 이 방식은 공격자가 눈에 잘 띄지 않아, 보안 도구로도 탐지가 쉽지

로그프레소(대표 양봉열)가 2024년 2월 사이버 위협 인텔리전스(CTI) 월간 리포트를 발행했다고 21일 밝혔다.로그프레소는 현재 누적 침해 지표(IoC) 2억 건 이상, PI(Privacy Intelligence) 780억 건 이상의 CTI 정보를 보유하고 있으며, 실시간으로 전 세계를 대상으로 보안 위협 정보를 수집하고 추적 중이다. CTI는 사이버 공격 관련 정보를 수집하고 분석해 사이버 위협에 신속하고 정확하게 대응하고자 가공한 형태의 정보다.지난 해 말부터 로그프레소는 리포트를 제작해 배포하고 있으며, 홈페이지에서도 다운

국가정보원과 독일 헌법보호청(BfV)은 북한의 방산 분야 사이버공격 피해를 예방하기 위해 2월 19일 합동 사이버보안 권고문을 발표했다.이번 합동 권고문은 북한의 방산 해킹 대표적인 사례 2가지에 대해 공격 전략ㆍ기술ㆍ절차 (TTPs) 등을 분석, 공격 주체와 실제 공격 수법을 소개하고 있다.◆홈페이지 유지보수 업체를 통한 방산기관 우회침투북한 해킹조직은 2022년말 해양ㆍ조선 기술을 연구하는 기관에 침투했다. 북한 해킹조직은 방산기관에 직접 침투하기 보다 보안이 취약한 유지보수 업체를 먼저 해킹, 서버 계정정보를 절취한 후 기관

“공격자(TA)를 식별하고 그들의 전략을 이해하는 것은 최근 보안에서 매우 중요하다. TA를 식별하고 명명하기 위한 업계 기준은 없지만 CTI 업체마다 각자의 공격그룹 분류 체계와 명명법, 관리 프로세스를 갖추고 있다. 하지만 자체적인 분류 체계 없이 다른 업체에서 발표한 TA명을 따라하는 것은 잘못된 정보를 생산할 수 있기 때문에, 안랩도 CTI 업체로서 명확한 기준을 가지고 위협을 분류하고 TA를 새롭게 명명할 계획이다. 그래서 안랩은 절지동물의 이름으로 TA를 명명하기로 했다.”데일리시큐가 2월 6일 주최한 국내 최대 사이버위

체이널리시스(한국지사장 백용기)가 ‘2024 가상자산 범죄 보고서–자금 세탁(Money Laundering)’을 발표했다.체이널리시스는 2023년에 가상자산 기반 범죄자가 세탁한 불법 자금은 총 222억 달러(약 30조 원)로, 2022년에 경신한 역대 최고치인 315억 달러(약 42조 원)에 비해 약 30% 가량 감소한 수치라고 밝혔다.보고서에 따르면, 전체 불법 자금의 62%가 모이는 중앙화 거래소는 가상자산을 법정화폐 환전(off-ramping) 서비스로 이용되는 주된 목적지로 나타났다. 하지만 중앙화 거래소는 충분히 불법 활

데일리시큐가 2월 6일 주최한 국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2024에서 김효민 체이널리시스 선임수사관은 ‘가상자산 위협 동향 및 대응’을 주제로 강연을 진행했다.비트코인 시가 총액 130조, 이더리움 370조. 가상자산을 대표하는 이 두 코인의 시가 총액은 삼성전자 시가 총액 448조를 능가하고 있다. 가상자산 거래도 활발해 지면서 이를 이용한 범죄와 사이버공격도 증가하고 있다. 투자사기, 마약거래, 도박, 랜섬웨어, 해킹 등 대부분 범죄가 가상자산을 매개로 발생하고 있다.김 수사관은 “북한은 가상자산 해킹을

데일리시큐가 2월 6일 주최한 국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2024에서 카스퍼스키 GREAT팀 박성수 책임은 ‘Unmasking Kimsuky's Targeted Heist on Korean Entities’를 주제로 강연을 진행했다.박성수 책임은 이날 국내를 중심으로 이루어진 사이버 공격 케이스들을 공개해 관심을 끌었다.우선 김수키(Kimsuky) 그룹에 대해 설명했다. 2013년 카스퍼스키는 특정 공격그룹의 서버를 분석하는 과정에서 한국, 일본, 미국, 중국 등 국방 관련 민감한 정보들을 탈취하는 조직으로

정부 및 전국 공공기관에 사이버위협 경보가 긴급 발령된 가운데, 위협헌팅 보안기업 씨큐비스타(대표 전덕조)가 정부부처와 공공기관을 대상으로 북한발 사이버 위협을 탐지하는 '침해활동 징후 진단서비스'를 무료로 제공한다고 15일 밝혔다.최근 국가 최상위 보안관리기관이 모든 정부부처, 지방자치단체 및 산하 기관에 공문을 보내 북한의 사이버 공격 위험을 경고하고 선제적 대비태세를 주문한 것으로 알려졌다.이번 공문은 단순한 협조요청이 아닌 국가정보원법에 근거한 '사이버공격 및 위협에 대한 예방 및 대응사항'이라고 밝혀져, 사실상 북한 사이버

국가정보원은 불법 도박사이트를 제작하여 한국인 사이버범죄조직에게 판매한 北 IT 조직원 신원을 비롯, 사이트 개발ㆍ판매ㆍ운영 실태 전반을 파악하고 관련 사진과 동영상 등을 입수했다고 14일 밝혔다.또한, 北 IT 조직에게 수천 개의 도박사이트 제작을 의뢰하고 이를 판매해 수조원대 수익을 올린 한국인 범죄조직에 대해서도 경찰과 실체를 규명중이다.■北 불법 외화벌이 조직 ‘경흥정보기술교류사’ 실체해당 北 IT 조직은 중국 단둥에서 활동중인 ‘경흥정보기술교류사’로 김정은 개인 비자금을 조달ㆍ관리하는 노동당 39호실 산하 조직이다.대남공작

국내 최대 사이버위협 인텔리전스 컨퍼런스 K-CTI 2024가 지난 2월 6일 더케이호텔서울 2층 가야금홀에서 700여 명의 정보보안 책임자 및 실무자가 참석한 가운데 성황리 개최됐다.한국인터넷진흥원 사고분석1팀 강동화 책임은 지난해 국내 주요 침해사고 동향을 설명하며 통신사 개인정보 유출부터 쇼핑몰, 의약유통, 차량부품제조사, 가상통화거래소, 서점, 교육업체, 의약제조사 등 다양한 침해사고 사례에 대해 공유하는 시간을 가졌다. 특히 크리덴션 스터핑, 공급망 공격, 백업솔루션 취약점, 무단 문자발송, 공유기 디도스, 국내 웹사이트