킴수키(Kimsuky)조직, '협의 이혼 의사 확인 신청서'를 위장한 에볼루션 바카라 사이트 유포 중!
주로 피싱/스팸 메일이나 크랙 프로그램을 통해 유포되었던 에볼루션 바카라 사이트이 매크로가 포함된 워드 파일을 통해 유포된 정황이 포착되어 사용자들의 각별한 주의가 필요합니다.
QuasarRAT은공격자로하여금원격접근이가능하도록허용하는악성코드로,사용자계정및사용자환경정보수집이가능하며,원격코드실행및파일업/다운로드등추가악성행위가가능합니다.
이번에 수집된 샘플은 "협의 이혼 의사 확인 신청서" 워드파일을 에볼루션 바카라 사이트하고 있으며, 악성 매크로가 포함되어 있습니다.
사용자가 파일을 실행하면 [콘텐츠 사용] 버튼 클릭을 유도하며, [콘텐츠 사용] 버튼을 누르면 협의이혼의사확인신청서 양식을 보여주며 정상파일인것 처럼 에볼루션 바카라 사이트합니다. 하지만 백그라운드에서는 AutoOpen() 함수에 의해 사용되 워드 파일에 포함된 매크로가 자동 실행됩니다
여기에서 주목할만한 점은 일반적인 워드에볼루션 바카라 사이트과는 다르게,에볼루션 바카라 사이트 형식은 .doc 에볼루션 바카라 사이트이지만 .hwp 에볼루션 바카라 사이트 형식로 보여진다는 점입니다.이는공격자들이 법원 전자민원센터에서 제공되는 한글 에볼루션 바카라 사이트(.hwp)을 워드 에볼루션 바카라 사이트(.doc)로 저장하여 이번 공격 디코이 에볼루션 바카라 사이트로 사용했음을 추측할 수 있습니다.
매크로가 실행되면 공격자가 미리 설정해 놓은 c2에 접속하여 악성 에볼루션 바카라 사이트을 version.ini 에볼루션 바카라 사이트명으로 저장하고 실행합니다. version.ini 에볼루션 바카라 사이트이 실행되면 version.ini, runps.vbs, conf.ps1 에볼루션 바카라 사이트을 생성하고 실행합니다.
version.ini 파일은 실행 후 작업 스케쥴러 등록을 통하여 사용자 PC에서의 연속성을 확보하며, runps.vbs는 실행 후 conf.ps1를 실행하며, 실행된 conf.ps1 파일은 공격자가 지정해 놓은 c2에 접속하여 추가 파일을 내려받습니다. 이후 몇 차례 c2 접속 및 파일 다운로드를 반복 후 최종적으로 최종적으로 QuasarRAT을 실행합니다.
ESRC는 여러 지표들을 분석한 결과, 이번 공격은 북한이 배후에 있는 APT 에볼루션 바카라 사이트의 '스모크 스크린(Smoke Screen') 공격 활동의 연장선으로 결론지었습니다.
북한정찰총국의 지원을 받는 해커 에볼루션 바카라 사이트의 국내 공격이 거세지고 있습니다.
사용자 여러분들께서는 의심스러운 에볼루션 바카라 사이트들의 실행을 지양해 주시기 바라며, 알약과 같은 백신 설치를 통하여 안전한 PC 환경을 만드시기 바랍니다.
현재 알약에서는 해당 악성코드에 대해Trojan.Downloader.DOC.Gen,Backdoor.MSIL.Quasar.gen,Trojan.PowerShell.Agent등으로 탐지중입니다.
IoC
E0CF0881DE0FE35732BB02C1F4DF02A3
3C687FB0A1921A53F9C607938F25FDD1
8F411A46490016AC5D126B83CEE65022
D4BB07F5A9462612CD0E8A9290E27FC8
*c2는 현재도 접속이 가능하여 비공개
