오늘은 해당 악성코드는 최근 한국의 방송사 기자를 대상으로 APT 공격 시도를 위한 악성 워드 문서 파일을 유포 중인것을 확인했습니다. 일단 이메일 파일이 전송되면 이메일 안에는 파일명이 사내 금융업무 상세내역.docx으로 돼 있는 악성코드가 포함돼 있습니다. 해당 악성 워드 문서를 실행하면 백그라운드 에서는 External URL을 이용하여 워드 매크로(dotm) 파일을 내려받아 실행합니다. 해당 악성코드의 해쉬값은 다음과 같습니다. 파일명: 사내 금융업무 상세 내역.doc 사이즈:23.0 KB CRC32:83ad2372 MD5:2d2ec0094ddba03db0806dcc80575b4f SHA-1:457f053115be183b1e424b95e9f63221b894029e SHA-256:3ea1112e3a..
오늘은 북한 해킹 단체 Kimsuky(김수키)에서 만들어서 배포하고 있으면서 대북 관계자, 북한 민간 전문가 등을 노리는 워드 악성코드입니다. 일단 기본적으로 제목은 동아시아연구원 사례비 지급 서식(East Asia Research Institute Compensation Payment Form)으로 돼 있으며 보면 해쉬값은 다음과 같습니다. 파일명: 동아시아연구원 사례비 지급 서식.docx 사이즈:329 KB CRC32:00429d8a MD5:bf41074e39bb3abbe4e4640401e7e655 SHA-1:326575e1df8e63ccc3f8283c6bf01b186dac7088 SHA-256:b9dcf7fe7e8ba30d363a19c2c43fc3eea93d281b10f6ee89cffe2a3e533..
오늘은 북한 해킹 단체 중 하나인 Kimsuky(김수키)에서 만든 워드 악성코드인 paypal.docx(2022.12.12)에 대해 알아보겠습니다. 일단 해당 악성코드는 일단 기본적으로 외교 안보 국방분야 교수, 북한 민간 전문가들이 아니고 불특정 한국인들의 대상으로 하고 있으며 해당 악성코드를 실행하고 나서 나오는 개인정보는 실제 한국인들 정보이면 총 42분의 개인정보를 도용해서 해당 악성코드가 진짜 인지 믿게 하는 목적인 것 같고 제목이 paypal(페이팔)하고 관련이 돼 있으며 미국의 간편 결제 서비스이며 1998년 12월 맥스 레프친, 피터 틸, 루크 노셀, 켄 하우리가 세운 콘피니티(Confinity)라는 회사가 일론 머스크가 설립한 X(.)com에게 인수되면서 1999년에 탄생했고 일종의 에스..
오늘은 카카오 서비스에 만든 카카오톡 암호화폐 지갑 클립(Klip)고객센터를 사칭하는 악성코드인 [Klip 고객센터]오전송_토큰해결_안내(2022.11.24)에 대해 글을 적어 보겠습니다. 해당 카카오가 출시하는 암호화폐 지갑으로 카카오의 블록체인 자회사 그라운드X가 개발했고 클레이를 보관 및 관리할 수 있는 암호화폐 지갑인데 해당 악성코드는 워드 형식으로 된 악성코드이며 클립 고객센터 이름으로 위장을 하고 있으며 실제로는 악성코드 제목은 다음과 같이 [Klip 고객센터]오전송_토큰해결_안내로 돼 있고 doc 확장자를 사용하고 있습니다. 일단 해당 악성코드는 doc 파일로 위장하고 있으며 해당 doc 파일에서는 악성 매크로가 포함돼 있어서 해당 악성코드를 실행하면 문서가 보호되었습니다. 내용을 보시려면 ..
오늘은 외교 안보 국방분야 교수, 북한 민간 전문가 분들을 노리는 북한 해킹 단체 중 하나인 Kimsuky(김수키)에서 만든 워드 악성코드인 법제처 국가법령정보센터.docx(2022.11.20)에 대해 글을 적어 보겠습니다. 일단 해당 악성코드는 다음과 같은 이름으로도 해당 악성코드를 유포하고 있습니다. 법령안 보안업무규정 시행규칙 법제처 국가법령정보센터 제목으로도 유포하는 악성코드입니다. 먼저 해쉬값은 다음과 같습니다. 파일명: 법제처 국가법령정보센터.doc 사이즈:39.0 KB CRC32: 392a3779 MD5:1b690440b54c2a830958fe54ad34e3c7 SHA-1:c29e9215dc22ba1ef5723eca29599e8d10c67c17 SHA-256:2e1aca8c86562cc52b..
오늘은 외교 안보 국방분야 교수, 북한 민간 전문가 겨냥한 김수키 악성코드인 [붙임] 약력 양식(2022.10.11)에 대해 글을 적어 보겠습니다. 일단 해당 악성코드는 북한의 해킹 그룹인 Kimsuky(김수키)에서 제작된 악성코드로 이름,소속,직위,휴대폰 번호와 사진, 전공학과, 주민등록 번호, 직장, 이메일 등을 입력하는 이력서 형식으로 돼 있는 것을 볼 수가 있습니다. 해당 악성코드의 해쉬값은 다음과 같습니다. 파일명: [붙임] 약력 양식.doc 사이즈:41.6 KB CRC32:909d0982 MD5:00e6f597354d69cdad7ea5deeb3c6857 SHA-1:6df41b52409cd12be73dc46b6adcac83d008ede4 SHA-256:e1c09e045af8b7301390cd96..
오늘은 북한 해킹 단체 Konni(코니) 즉 김수키(Kimsuky)와 연관된 북한 해킹 그룹 이며 Konni는 2014년 초부터 발견되었고 Konni 은 2012년부터 활동한 북한의 사이버 스파이 그룹인 APT37 과 잠재적으로 연결되어 있으며 해킹의 목표가 되는 희생자는 한국(남한)의 정치인, 북한 관련 종사자 또는 대북 관련 업무 맡는 분 및 일본, 베트남, 러시아, 네팔, 중국, 인도, 루마니아, 쿠웨이트 및 기타 중동 지역을 타켓으로 하고 있으며 이번 악성코드는 워드에 매크로로 작동하는 악성코드이며 제목은 카뱅과 손잡은 코인원_비트 독주 체제 무너뜨릴까? 라는 제목으로 돼 있으며 기본적으로 한국의 경제 주간지 이코노미스 에서 발간하는 경제 주간지 이코노미스트의 2022.09.03 07:05 에 작..
오늘은 해당 악성코드는 최근 한국의 방송사 기자를 대상으로 APT 공격 시도를 위한 악성 워드 문서 파일을 유포 중인 것을 확인했습니다. 일단 이메일 파일이 전송되면 이메일 안에는 파일명이 사내 금융업무 상세내역.docx으로 돼 있는 악성코드가 포함돼 있습니다. 해당 악성 워드 문서를 실행하면 백그라운드 에서는 External URL을 이용하여 워드 매크로(dotm) 파일을 내려받아 실행합니다. http://ms-work.com-info(.)store/dms/0203.dotm 이며 해당 파일 해쉬값은 다음과 같습니다. 파일명:사내 금융업무 상세 내역.doc 사이즈:106 KB CRC32:8771aa41 MD5:f5a18dc727c19624bcd47f03c0713b4b SHA-1:ed4cc1680d22de..
오늘은 북한 해커 조직인 Kimsuky(킴수키) 또는 김수키 라고 하는 북한 해커 집단에서 라자루스(Lazarus Group) 하고 자매 정도 포지션 이라고 할 수가 있으며 정보 탈취를 목적으로 활동하는 지능형지속위협(APT) 그룹으로 알려졌으며 2013년 9월 러시아 보안업체 카스퍼스키(Kaspersky)에 의해 처음 알려졌고 서울에 있는 모 대학 병원의 환자 정보를 탈취하기도 했으며 한국원자력연구원, 원전반대그룹을 자처하며 한국수력원자력의 대외비 자료를 공개 등으로 말미암아서 한때 비상근무를 쓰기도 했던 해킹 그룹으로 주목받고 있으면 지난 제 블로그에서도 글을 적었지만, 북한 해킹 조직 김수키 에서 만든 악성코드 KISA Mobile Security, 그리고 가상화폐 훔치려고 만든 악성코드인 Drop..
오늘은 북한 해커 조직인 Kimsuky(킴수키) 또는 김수키 라고 하는 북한 해커 집단에서 라자루스(Lazarus Group) 하고 자매 정도 포지션 이라고 할 수가 있으며 정보 탈취를 목적으로 활동하는 지능형지속위협(APT) 그룹으로 알려졌으며 2013년 9월 러시아 보안업체 카스퍼스키(Kaspersky)에 의해 처음 알려졌고 서울에 있는 모 대학 병원의 환자 정보를 탈취하기도 했으며 한국원자력연구원, 원전반대그룹을 자처하며 한국수력원자력의 대외비 자료를 공개 등으로 말미암아서 한때 비상근무를 쓰기도 했던 해킹 그룹으로 주목받고 있으면 지난 제 블로그에서도 글을 적었지만, 북한 해킹 조직 김수키 에서 만든 악성코드 KISA Mobile Security, 그리고 가상화폐 훔치려고 만든 악성코드인 Drop..
오늘은 북한 해커 단체인 김수키(Kimsuky)가 러시아 외부무를 공격을 하기 위한 만든 악성코드인 _Pyongyang in talks with Moscow on access to Donbass에 대해 알아보겠습니다. 해당 악성코드는 북한 김수키(Kimsuky)에 의해서 제작이 된 악성코드로 심양 러시아 총영사관 계정을 사용하여 일본 러시아 총영사관에 추가 공격을 하려고 제작된 악성코드로 추측되면 해당 악성코드는 Donbass.zip 로 파일로 압축이 되어져 있으며 압축 파일에서는 2개의 파일이 존재하고 있습니다. _Pyongyang in talks with Moscow on access to Donbass.pptx Donbass.ppam PPTX 파일은 Microsoft PowerPoint Open X..
오늘은 한미 연합 훈련 킬 체인 웨비나 일정으로 위장한 악성코드인 1. doc에 대해 글을 적어 보겠습니다. 일단 해당 악성코드는 북한 해커 조직인 Kimsuky(킴수키) 또는 김수키 라고 하는 북한 해커 집단에서 만들어진 악성코드로 일단 해당 악성코드는 이메일을 통해서 전파가 되어 있으며 국내 특정 기관으로 속여서 조언을 요청하기 위해서 이메일을 전송하면 해당 악성코드의 특징은 예전 방식은 그냥 무작위로 이메일을 악성코드를 포함해서 이메일 보냈다고 하면 이제는 메일에 직접 워드 문서를 첨부하지 않고 공격 대상이 되는 대상이 나 답장받고 싶어요. 하고 답장을 보면 답장 이메일에 악성코드가 포함된 워드 문서를 주소를 보내 주고 해당 문서를 내려받길 실행을 하면 악성코드가 감염되는 방식을 취하고 있습니다. ..
오늘은 북한 해커 조직인 Kimsuky(킴수키) 또는 김수키 라고 하는 북한 해커 집단에서 라자루스(Lazarus Group)하고 자매 정도 포지션 이라고 할 수가 있으며 정보 탈취를 목적으로 활동하는 지능형지속위협(APT) 그룹으로 알려졌으며 2013년 9월 러시아 보안업체 카스퍼스키(Kaspersky)에 의해 처음 알려졌고 서울에 있는 모 대학 병원의 환자 정보를 탈취하기도 했으며 한국원자력연구원, 원전반대그룹을 자처하며 한국수력원자력의 대외비 자료를 공개 등으로 말미암아서 한때 비상근무를 쓰기도 했던 해킹 그룹으로 주목받고 있으면 지난 제 블로그에서도 글을 적었지만, 북한 해킹 조직 김수키 에서 만든 악성코드 KISA Mobile Security, 그리고 가상화폐 훔치려고 만든 악성코드인 DropP..
해당 악성코드는 최근 한국의 방송사 기자를 대상으로 APT 공격 시도를 위한 악성 워드 문서 파일을 유포 중인 것을 확인했습니다. 일단 이메일 파일이 전송되면 이메일 안에는 파일명이 사내 금융업무 상세내역.docx으로 돼 있는 악성코드가 포함돼 있습니다. 해당 악성 워드 문서를 실행하면 백그라운드에서는 External URL을 이용하여 워드 매크로(dotm) 파일을 다운로드 받아 실행합니다. http://ms-work.com-info(.)store/dms/0203.dotm 이며 해당 파일 해쉬값은 다음과 같습니다. 파일명: 0203.dotm 사이즈: 21.9 KB CRC32: b4376f81 MD5: da9816b60d9866b1b6d90a8e20e39623 SHA-1: 685b49e2e1855f4a8b..
오늘은 특정 논문을 이용한 악성코드가 삽입된 워드 문서로 위장하는 악성 워드입니다. 먼저 북한에서 해커 조직이라고 하면 김수키(Kimsuky=탈륨(Thallium),라자루스(Lazarus)가 있습니다. APT 조직이 지난 2017년 시스코 탈로스를 통해 알려진 코니 조직과 같은 C2 인프라 이용을 해서 가상 화폐를 훔치는 수법을 사용하고 있으면 김수키(Kimsuky=탈륨(Thallium)은 지난 2015년 도에서는 한수원 자료 유출한 원전 반대 그룹 이름으로 2015년 12월 25일에는 한국 원자력 발전소(핵발전소)를 파괴를 하겠다고 했던 그룹입니다. 지금도 꾸준히 한국의 특정 정치 단체, 특정 단체,피싱 같은 걸로 개인정보를 수집하고 있습니다. 해당 내부에서는 악의적으로 만든 악성 매크로 존재를 하고 ..
오늘은 늦은 감은 있지만 북한 해킹 조직 김수키 에서 만든 한국인터넷진흥원(KISA)을 사칭하는 악성코드 인 KISA Mobile Security.apk에 대해 글을 적어 보겠습니다. 단 북한에서 해커 조직이라고 하면 김수키(Kimsuky=탈륨(Thallium), 라자루스(Lazarus)가 있습니다. APT 조직이 지난 2017년 시스코 탈로스를 통해 알려진 코니 조직과 같은 C2 인프라 이용을 해서 가상 화폐를 훔치는 수법을 사용하고 있으면 김수키(Kimsuky=탈륨(Thallium)는 지난 2015년 도에서는 한수원 자료 유출한 원전 반대 그룹 이름으로 2015년 12월 25일에는 한국 원자력 발전소(핵발전소)를 파괴를 하겠다고 했던 그룹입니다. 이번에서는 메일을 통해 한국인터넷진흥원(KISA) 앱을..