잉카인터넷 시큐리티대응센터 블로그

1분기 국가별 해커 그룹 동향 보고서 러시아 2024년 1분기 러시아의 해커 그룹인 ColdRiver와 CozyBear 그룹의 공격이 발견됐다. ColdRiver 해커 그룹은 PDF 암호 해독 도구로 가장한 페이로드를 사용해 알려지지 않은 백도어 악성코드를 배포했으며, CozyBear 해커 그룹은 독일 정당을 대상으로 피싱 메일을 사용해 공격하는 것이 확인됐다. ColdRiver 2015년도 후반부터 활동한 ColdRiver 해커 그룹은 러시아 정부 지원을 받고 있는 것으로 알려졌으며, Callisto Group, Seaborgium 및 Star Blizzard라고도 불린다. 최근에 해당 그룹은 전 세계 조직을 대상으로 계정 자격 증명과 데이터를 탈취하는 스피어 피싱 캠페인을 진행했다. 지난 2022년도..

4분기 국가별 해커 그룹 동향 보고서 러시아 2023년 4분기 러시아의 해커 그룹 Winter Vivern과 Gamaredon 그룹의 공격이 발견됐다. Winter Vivern 해커 그룹은 Roundcube 제로데이 취약점을 악용해 유럽 정부 기관과 싱크탱크를 대상으로 공격했고, Gamaredon 해커 그룹은 USB 드라이브로 악성코드를 확산하고 C&C 서버와 통신해 추가 악성 행위를 수행하는 것으로 확인됐다. Winter Vivern 2020년도부터 활동한 Winter Vivern 해커 그룹은 인도, 이탈리아 및 우크라이나 등을 포함해 전 세계 정부 기관을 표적으로 삼는 것이 확인된다. 해당 그룹에서 악성 문서, 피싱 웹사이트 및 백도어를 사용한 공격이 여러 차례 발견됐다. 지난 8월부터 9월 사이에 ..

3분기 국가별 해커그룹 동향 보고서 러시아 2023년 3분기 러시아의 해커그룹 CozyBear와 Sandworm 그룹의 공격이 발견되었다. CozyBear 해커그룹은 MS Teams를 통한 사회공학 공격과 NATO 가입국을 대상으로 하는 피싱 공격을 수행하였고, Sandworm 해커그룹은 모바일 악성코드를 유포하는 캠페인을 수행하였다. 또한, 친러 성향의 NoName 해커그룹이 캐나다 공항을 대상으로 DDoS 공격을 수행하였다. CozyBear 러시아 연방 해외 정보국(SVR)을 배후로 둔 CozyBear 해커그룹은 APT29, The Dukes 등의 이름으로도 불린다. 2008년부터 활동한 것으로 전해지며 주로 미국과 유럽의 정부 기관 및 NATO 회원국을 대상으로 공격을 수행하였다. 최근에도 이들을 ..

2분기 국가별 해커 그룹 동향 보고서 러시아 2023년 2분기에는 CozyBear 해커 그룹과 FancyBear 해커 그룹의 공격이 발견되었다. 두 해커 그룹은 러시아 정부기관을 배후로 두고 있는 것으로 전해지며, 2000년대 초반부터 활발하게 활동하였다. 이번 2분기에는 CozyBear 해커 그룹과 FancyBear 해커 그룹이 유사하게 피싱 메일을 활용한 APT 공격을 수행하였다. CozyBear CozyBear 해커 그룹은 2008년부터 활동한 것으로 전해지며, 러시아 대외정보국(SVR)을 배후로 두고 있는 해커 그룹이다. 해당 그룹은 CozyBear를 비롯하여, APT29, The Dukes 등의 이름으로도 불린다. 주로 NATO 회원국의 정부 네트워크 및 연구기관, 싱크탱크를 표적으로 공격하였으..

최근, 미국의 네트워크 장비 제조 업체 Cisco가 인도 정부와 군대를 대상으로 하는 APT 캠페인을 발표했다. 해당 업체에 따르면 공격자가 다단계 인증 프로그램으로 위장한 "Crimson RAT" 악성코드를 인도 정부기관을 사칭한 사이트를 통해 유포했다고 알려졌다. 또한, 이 프로그램을 실행할 경우 해당 악성코드를 설치해 화면 스크린샷과 시스템 정보 등의 데이터를 공격자 C&C서버에 전송한다고 알렸다. Cisco는 이번 캠페인의 배후로 파키스탄의 Transparent Tribe APT 그룹을 예상하고 있다. 사진출처 : Cisco Talosintelligence 출처 [1] Cisco talosintelligence (2022.03.29) – Transparent Tribe campaign uses n..

최근 중동 국가를 대상으로 공격하는 캠페인이 발견됐다. 해당 캠페인은 "Molerats" 해커 그룹의 소행으로 추정되며, 공격자들은 문서 파일을 사용해 악성코드를 유포했다. "Molerats" 해커 그룹은 악의적으로 조작한 문서 파일을 사용자가 실행하도록 유도한다. 먼저, 문서 내부의 매크로나 외부 링크를 변경해 공격자의 C&C 서버에서 파일을 다운로드한 후 실행한다. 이 과정에서 다운로드한 파일은 백도어 악성코드로 공격 대상 환경에서 명령을 실행하거나 추가 파일 다운로드 및 업로드 등의 행위를 수행한다. 먼저, 사용자가 “Molerats” 해커 그룹이 악의적으로 조작한 문서를 실행하면 내부의 매크로가 동작해 악성코드를 다운로드한 후 실행한다. [그림 2]와 같이 매크로를 사용하는 방식 외에도 [표 1]..

2019년에 처음 등장한 "SideCopy" 해킹 그룹은 주로 남아시아 국가, 특히 인도와 아프가니스탄을 대상으로 공격하는 것으로 알려졌다. 해당 악성코드는 주로 MS Publisher 또는 이미지 뷰어로 위장한 아카이브 파일로 유포되며 현재 진행중인 캠페인은 주로 정부나 군 관계자들을 목표로 하여 맞춤화된 문서나 이미지로 유포된다. "SideCopy" 해킹 그룹의 악성코드는 페이로드가 포함된 MS Publisher 문서와 같은 아카이브 파일로 유포된다. 해당 문서 파일은 목표 대상이 흥미를 끌 수 있는 내용의 문서로 작성돼 있으며 실행 시, 페이로드를 로드하는 파일인 "Crebiz.exe"과 감염된 PC의 정보를 탈취한 후 공격자의 서버로 전송시키는 파일인 "TextShaping.dll" 파일을 드랍한..

4분기 국가별 해커그룹 동향 보고서 러시아 러시아의 해커그룹들은 정부기관의 지원을 받아 활동하여, 오랜 시간 동안 지속적으로 모습을 드러내었다. 그 중 CozyBear 의 경우, 러시아 SVR 을 배후로 두고 있으며, 미국과 프랑스를 비롯하여 여러 국가를 대상으로 공격을 수행하였다. 이로 인해 프랑스 정보국에서는 해당 해커그룹 관련 자료를 발표하는 등의 조치를 취하고 있다. 그 외에도 피싱 메일을 유포하여 공격을 수행하는 Gamaredon 해커그룹은 최근 새롭게 RTF Template Injection 기술을 활용하여 공격을 수행하였다. CozyBear (APT29) CozyBear 그룹은 러시아 대외정보국(SVR)을 배후로 두고 있으며, Nobelium 또는 APT29 라는 이름으로도 불린다. 해당 해..

대만, 일본 및 홍콩의 기업을 공격하여 기술 및 데이터를 탈취하는 Flagpro 악성코드가 등장했다. 이번 캠페인은 1년 전부터 일본 기업을 주요 대상으로 공격하기 시작했으며 일본의 국방, 미디어 및 통신 분야등 다양한 직종의 기업을 타겟으로 삼았다. 해당 악성코드는 중국 정부가 지원하는 것으로 추정되는 BlackTech APT 그룹이 제작한 악성코드로 추정되며 이번 캠페인에서는 신뢰할 수 있는 영업 파트너의 메시지로 위장하여 대상 기업에 피싱 메일을 보내는 것으로 알려졌다. “Flagpro” 악성코드는 감염된 기업 시스템의 정보를 탈취하고, 공격자의 C&C 서버로 전송한다. 또한, 명령을 공격자 서버에서 받아와 시스템을 원격으로 제어하거나 악성코드를 추가적으로 다운로드할 수 있다. 출처 [1] Blee..

LuoYu 해킹 그룹은 2014년에 처음 등장하여 2017년도 까지는 한국을 포함해 중국, 홍콩, 일본, 대만 등 동아시아 지역의 IT 산업을 대상으로 공격을 시도했다. 하지만 2017년도부터 IT 기업뿐만 아니라 교육 서비스 직종 및 미디어 기업과 같은 업종을 공격 대상에 포함시켰다. 해당 해킹 그룹은 Mac, Linux, Windows 및 Android 시스템을 대상으로 하며 "WinDealer" 뿐만 아니라 "ReverseWindow", "SpyDealer"과 같은 악성코드도 함께 사용한다. "WinDealer" 악성코드는 특정 폴더에 존재하는 데이터 파일들을 이용하여 공격자의 C&C 서버 정보 및 공격자가 필요로 하는 특정 정보를 읽어온다. 최종적으로 "WinDealer" 악성코드 내부에 하드코딩..