한국을 대상으로한 APT공격을 수행하고 있는 '작전명 김수키(Operation Kimsuky)'의 활동은 은밀하게 계속되고 있다. 사이버 공격은 남북관계의 온도차와는 관계없이 계속 되고 있다. 최근 정부 후원을 받는 공격자들의 한국 공격이 포착됐다. 5월에 수행한 최신 표적형 APT 사례다. 분석결과 김수키 작전에 사용된 '위협 벡터'(공격자가 침해대상에 사용한 접근수단)와 오버랩되는 점이 발견된 것이다. 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터(이하 ESRC)는 이번 위협그룹과 개발코드가 남긴...

한국인터넷진흥원(KISA)이 발표한 ‘국내 스피어피싱 유형 분석’에 따르면 기업 및 기관을 노리는 표적 공격의 91%가 스피어피싱 이메일에서 시작된다고 한다. 스피어피싱 이메일의 94%가 파일을 첨부하고 있었으며, 공격 대상의 76%가 기업이나 정부기관인 것으로 나타났다. 스피어피싱은 특정 개인이나 조직을 대 사용하여 상으로 잘 아는 자가 보내는 것처럼 위장해 메일을 보내 악성코드에 감염시키는 공격이다. 업무에 관련된 문구를 이메일을 보내기에 수신자가 메일을 열람할 가능성이 높다. 특히 스피어피싱 이메일은 보안 솔루션 탐지를 ...

대북 단체 및 국방 분야를 주요 공격 대상으로 사이버 침투 활동을 일삼아온 APT(지능형지속위협) 공격 그룹 ‘Geumseong121’이, 최근 안드로이드 기반 모바일 기기를 대상으로 한 스피어 피싱 공격까지 수행하고 있는 정황이 발견됐다. 이스트시큐리티(대표 정상원) 측에 따르면, 이 공격 그룹은 각 보안 기업마다 △ScarCruft(Kaspersky Lab), △Red Eyes(AhnLab), △APT37(FireEye), △Group 123(Talos) 등 다양한 이름으로 불리고 있으며, 해외에서 전혀 보고되지 않았던 최...

러시아 범죄 조직이 감염 된 RTF 문서를 이용해 32개의 Raiffeisen Romania 은행 ATM에서 380만 슬로프(약 11억 3천만원)를 훔쳐가는 사고가 발생했다. 해외 언론은 “Raiffeisen 은행은 하룻밤 사이 루마니아 내의 모든 ATM을 통제할 수 없었다. 불가능해 보이지만, 루마니아 전역의 ATM들은 러시아 해커 그룹들이 통제했다. 이는 루마니아 역사상 가장 큰 현금 도난 사건이며 당국은 이에 대해 아무런 말이 없었다”고 밝혔다. 범인들을 조사한 조직 범죄 대테러 사무국은 해당 범죄 조직의 리더를 체포했다...

가상화폐 거래소를 타깃으로 한 해킹 공격이 계속 되고 있다. 해커들 입장에서 가상화폐 거래소는 보안도 허술하고 고가의 비트코인 등 가상화폐도 탈취할 수 있어 매력적인 공격 타깃이다. 5일, 김병기 더불어민주당 의원은 국정원 업무보고 이후, 지난해 12월 북한 해커조직이 가상화폐를 탈취하기 위해 국내 거래소를 해킹했으며 이미 최소 두 곳을 해킹해 수백억원 규모의 가상화폐를 빼내갔다고 밝혔다. 공격자는 가상화폐 거래소와 회원들에게 스피어피싱 메일을 유포하고 패스워드를 빼내는가 하면 신입직원 입사지원서로 위장해 메일을 보내 거래소 ...

지난 2월 1일 바른정당 하태경 의원은 자신의 의원실을 사칭한 가상화폐 관련 이메일이 유포되고 있다며 경찰에 수사를 의뢰한 바 있다. 바로 스피어피싱 공격이다. 하 의원은 북한 해커소행으로 추정된다. 북한 해킹 전문가에게 분석을 의뢰한 결과 북한 해커들이 주로 사용하는 악성코드와 일치한다고 밝혔다. 이번 스피어 피싱 공격 타깃은 가상화폐 거래소를 활용하는 이용자였다. 분석 결과, 발신자는 마치 국회에서 작성한 대외비 내부문서로 가장했으며, '국회 가상화폐 법안자료.rar' 파일을 첨부한 해킹 메일을 특정 가상화폐 거래소 회원 ...

한국장애인고용공단(이사장 조종란)은 2월 5일 공단 본부 대강당에서 전 직원 900여명을 대상으로 “2018년 정보보안 및 개인정보보호 교육”을 실시했다고 밝혔다. 이번 교육은 랜섬웨어, 악성메일 등 국가·공공기관을 사칭한 해킹공격으로 인해 개인정보의 유출 사례가 증가함에 따라 유사 사례를 미연에 방지하기 위한 것으로 안랩 컨설팅사업본부 이장우 이사를 초빙해 교육을 실시했다. 이장우 이사는 최신 해킹 동향으로 ‘APT공격’과 ‘스피어피싱’을 강조하며 전산팀 뿐 아니라 공단 전 임직원이 표적공격 대상이므로 임직원 스스로가 정보보...

2017년 동안 한국의 특정 가상화폐 거래소를 대상으로 활동했던 이른바 정부 차원의 후원을 받는 것으로 추정되는 공격자(state-sponsored actor)가 2018년에는 글로벌을 상대로 공격을 시도하는 정황이 다수 포착되고 있다. 이 공격그룹은 한국에서는 HWP 문서파일 취약점을 악용한 스피어피싱 공격을 주로 활용한 반면, 해외는 DOC 문서 등의 매크로 기능을 공격에 활용하는 특징이 있고, 내부 코드를 숨기는데 노력을 기울이고 있다는 것이 특징이다. 이스트시큐리티 시큐리티대응센터(ESRC) 분석 내용은 다음과 같다. ...

한국인터넷진흥원에서 2017년 4분기 사이버 위협 동향 보고서를 발표했다. 이번 보고서에 따르면, 2017년은 다양한 랜섬웨어 및 가상통화 채굴형 악성코드가 많이 발견된 한해였다. KISA에서 수집한 악성코드 중 일부 분석결과를 확인한 결과 랜섬웨어가 가장 많이 발견된 것으로 확인되었다. 또한 4분기 악성코드 통계를 보면, 수집·분석한 악성코드 중 가장 많이 확인된 유형은 랜섬웨어, 정보탈취, 원격제어 순으로 나타났다. 수집·분석된 악성코드 중 랜섬웨어 비율은 지속적으로 증가(3분기 347건 → 4분기 463건, 33.4% 증...

2016년 12월부터 한국에 다수 유포된 '비너스 락커(Venus Locker)' 랜섬웨어 공격자는 2017년 11월 말부터 가상화폐 모네로(Monero/XMR) 채굴 기능의 악성 파일을 지속적으로 유포하고 있는 상황이다. 특히 공격자는 유창한 한국어를 사용하며 스피어피싱 공격 기법을 쓰고 있어 북한 해커들의 소행으로 추정되고 있다. 이스트시큐리티 측에 따르면, 최근 한국의 특정 의료시설 웹 사이트에 공개된 간호사 채용 문의 메일로 공격을 수행하고 있는 특징이 있는 것으로 분석됐다. 공격자는 2016년부터 주로 구글 지메일을 ...

오늘(1월 8일) 새벽 시간대 금융관련 내용으로 스피어피싱 표적공격이 확인됐다. 공격자는 한메일 서비스를 이용했으며, '바젤3 관련자료' 등으로 위장한 이메일 제목을 사용했다. 해당 메일을 받은 인터넷 이용자는 각별한 주의를 기울여야 한다. ‘바젤3(Basel3)’이란 스위스 바젤에 본부를 둔 국제결제은행 산하의 바젤은행감독위원회에서 글로벌 금융위기 재발방지를 위해 내놓은 개혁안으로 은행자본 건전화 방안이다. 8일 공격은 일반인들이 다소 생소한 금융관련 내용을 담고 있는 것이 특징이다. 이스트시큐리티 시큐리티대응센터(ESRC)...

지난 1월 초, 국내 특정 기관에서 공지한 '북한 2018년 신년사 분석' 내용으로 사칭한 HWP 취약점 기반 악성파일이 발견되었다. 수년 전부터 유사한 형태의 스피어 피싱 추정 공격이 지속적으로 발견되고 있어, 이용자분들의 각별한 주의가 요구된다. 해당 문서파일 포맷 내부에는 밀봉형 포스트스크립트인 'BIN0004.eps' 데이터가 포함되어 있다. 기본적으로 HWP 문서파일은 zlib 공개 압축 라이브러리를 사용하고 있는데, 압축된 부분을 해제하면 아래 비교화면과 같이 내부의 코드를 확인할 수 있다. 압축을 해제한 EPS 코...

한국인터넷진흥원을 사칭해 보안 점검 협조 요청 내용의 PDF 공문 및 악성코드가 포함된 한글 문서를 첨부 한국인터넷진흥원을 사칭한 스피어피싱 메일이 가상화폐 거래소를 대상으로 유포되고 있어 해당 업체는 모니터링을 강화해야 하고 이메일 첨부파일 및 링크 열람에 각별한 주의가 요구된다. 해커가 14일 한국인터넷진흥원을 사칭해 스피어피싱 메일을 발송하고 악성코드 감염을 시도하는 정황히 확인된 것이다. 해커는 가상화폐 거래소를 대상으로 한국인터넷진흥원을 사칭해 보안 점검 협조 요청 내용의 PDF 공문 및 악성코드가 포함된 한글 문서를...

진앤현시큐리티(대표 김병익)와 지란지교시큐리티(대표 윤두식)는 6일 양재동 엘타워에서 보안관리자를 위한 ‘디지털금융시대, 새로운 보안관리전략 세미나’를 성황리에 개최했다. 이 자리에서 이상준 지란지교시큐리티 이사는 ‘예방적 콘텐트 보안 위협 대응, CDR’을 주제로 발표를 진행했다. 그는 액티브 콘텐트에 대해 “추가적인 기능을 제공하기 위해 파일 내부에 포함될 수 있는 모든 유형의 콘텐트를 의미한다. 일반적으로 표면에 노출되어 있지 않은 형태다. 주요 액티브 콘텐트로는 MS오피스 매크로, 자바스크립트, 플래시, Attachme...

가상화폐 거래소가 해킹공격의 주요 타깃이 되고 있다. 비트코인 거래를 할 수 있는 특정 가상화폐 거래소 관계자를 대상으로 한 다양한 사이버범죄 시도가 꾸준히 발견되고 있기 때문이다. 관련 기업들의 보안강화가 필요한 상황이다. 최근 마치 정상적인 채용관련 문의와 입사 지원서로 위장한 스피어피싱 공격이 추가로 발견되고 있다. 공격자는 한메일 서비스를 이용했으며 수신자 역시 한메일을 쓰는 이용자다. 수신자는 가상화폐 관련 사이트와 SNS 등에서 활동하는 것이 다수 확인됐다. 공격자가 사용한 'alosha'라는 계정은 그동안 여러차례...

2012년부터, 해외 해커조직으로부터 중국의 정부기관, 연구기관, 해양관련 기관, 항공기업 등 중요 기업들이 조직적이고 계획적인 공격을 받았다. 이 공격조직을 Ocean Lotus라 명명한다. 이 조직에 대한 상세 분석 리포트가 공개됐다. 리포트는 중국어로 돼 있으며 자료는 데일리시큐 자료실에서 다운로드 가능하다. 이 조직은 스피어피싱, 워터링공격 등의 방법과 여러가지 사회공학적 기법을 통해 공격을 시도했으며, 중국의 공격 대상자들에게 특정 악성코드를 유포하여 일부 정부부처의 사람들을 몰래 모니터링했을 뿐만 아니라 아웃소싱 업...

카스퍼스키랩 연구진은 2017년 9월 러시아, 아르메니아, 말레이시아를 포함한 여러 지역에서 10개 이상의 금융기관에 새로운 형태의 표적공격이 연이어 발생했다고 밝혔다. 이 공격은 신생 해킹그룹인 Silence의 소행으로, 다른 악명 높은 집단인 Carbanak과 유사한 기술을 활용해 피해자로부터 돈을 훔치고 있으며 공격은 지금도 계속 이어지고 있다. Silence는 금융기관에서 수백만 달러를 절도한 Metel, GCMAN, Carbanak와 함께 피해 규모나 방법의 복잡성 면에서 최악의 사이버 절도를 벌인 조직으로 이름을 올...

파이어아이(지사장 전수홍)는 지난 9월 22일 북한 정부와 연계된 것으로 보이는 사이버 공격 그룹이 미국의 전력 회사로 발송 한 스피어피싱 이메일을 발견 해 차단했다고 밝혔다. 최근 파이어아이는 한국의 전기 시설을 위협하는 북한 정부와 연계된 해킹 그룹을 탐지한 바 있으며 해당 공격의 경우에도 전력 중단을 초래하지는 않았다. 이번 공격은 정찰의 초기 단계로 파괴적 위협을 초래 할 수 있는 심각한 수준의 사이버 공격은 아닌 것으로 밝혀졌다. 전력 공급을 제어하는 산업제어시스템(Industrial Control Systems, I...

지난 9월 21일 데일리시큐 주최로 열린 ‘대한민국 정보보호 인테리전스 컨퍼런스 K-ISI 2017’이 200명 이상의 국내 보안전문가들이 참석한 가운데 한국과학기술회관 대회의실에서 개최됐다. 이 자리에서 박문범 한국인터넷진흥원 선임연구원은 ‘특정 APT 조직 프로파일링을 위한 사이버무기 정밀 분석’을 주제로 발표를 진행했다. 박문범 선임은 북한 APT 공격조직으로 분류되고 있는 라자루스(Lazarus), 블루노로프(Bluenoroff), 안다리엘(Andariel) 공격그룹에 대해 상세 분석 내용을 공개했다. 라자루스는 한국 ...

지난 9월 21일 데일리시큐 주최로 열린 ‘대한민국 정보보호 인테리전스 컨퍼런스 K-ISI 2017’이 200명 이상의 국내 보안전문가들이 참석한 가운데 한국과학기술회관 대회의실에서 개최됐다. 이 자리에서 금융보안원 침해위협분석팀 곽경주 과장은 Landscape of a rising threat in Financial Sector’를 주제로 발표를 진행했다. 이번 발표에서 그는 “최근 금융권은 많은 공격을 받고 있다. 이는 공격 그룹들이 외화벌이에 집중하고 있기 때문”이라며 최근 공격에 사용된 악성코드와 TTP(Tactics ...