Monthly Threat Actor Group Intelligence Report, May 2023 (KOR)

2023년 5월에는 총 11개 해킹 그룹의 활동이 발견되었으며, 이들은 SectorJ04, SectorJ05, SectorJ06, SectorJ09, SectorJ64, SectorJ72, SectorJ74, SectorJ110, SectorJ111, SectorJ112, SectorJ113 그룹이다.

이들은 다른 정부 지원 해킹 그룹들과 다르게 현실 세계에서 금전적인 이윤을 확보할 수 있는 재화적 가치가 있는 온라인 정보들을 탈취하거나, 직접적으로 특정 기업 및 조직들을 해킹 한 후 내부 네트워크에 랜섬웨어(Ransomware)를 유포하거나, 중요 산업 기밀을 탈취한 후 이를 빌미로 금전적 대가를 요구하는 협박 활동 등을 수행한다.

SectorJ04 그룹의 활동은 미국, 인도, 스페인, 루마니아, 대만에서 발견되었다. PaPerCut 취약점(CVE-2023-27350, CVE-2023-27351)에 노출된 시스템을 대상으로 데이터를 탈취하거나, 랜섬웨어(Ransomware) 배포를 시도했다.

SectorJ05 그룹의 활동은 말레이시아, 스웨덴, 터키, 미국에서 발견되었다. 해당 그룹이 사용한 악성코드는 추가 악성코드를 다운로드 및 실행할 수 있는 기능을 가지고 있기 때문에 추후 시스템에 중요한 정보를 훔치거나 랜섬웨어(Ransomware) 공격을 시도를 할 가능성이 있다고 판단된다.

SectorJ06 그룹의 활동은 러시아에서 발견되었다. 해당 그룹은 금전적인 이윤을 확보하기 위해 가스프롬 랜섬웨어(Gazprom Ransomware)를 사용했으며, 러시아 대통령인 블라디미르 푸틴을 연상케 하는 텍스트 그림이 포함된 랜섬노트(Ransom Note)를 사용했다.

SectorJ09 그룹은 웹 사이트에 난독화 된 스키밍(Skimming) 스크립트를 삽입하여, 결제 페이지에서 사용자명, 주소, 이메일, 전화번호와 신용카드 지불 정보 등을 수집하는 기존의 해킹 방식을 유지하고 있다.

SectorJ64 그룹의 활동은 미국, 인도에서 발견되었다. 해당 그룹은 오라클(Oracle) 웹로직(WebLogic) 서버 취약점(CVE-2017-3506)에 노출된 서버를 대상으로 암호화폐 채굴을 시도했다.

SectorJ72 그룹의 활동은 네덜란드, 홍콩, 인도네시아, 캐나다, 멕시코, 아르메니아, 세르비아, 헝가리, 볼리비아, 스페인, 튀니지, 에콰도르, 말레이시아, 이탈리아, 폴란드, 크로아티아, 불가리아, 리투아니아, 아르헨티나, 미국에서 발견되었다. 해당 그룹은 이동식 매체를 통해 악성코드를 전파하고 있으며, 공격 대상이 악성코드에 감염된 이동식 매체에 존재하는 윈도우 바로가기(LNK) 파일 형식의 악성코드를 실행할 경우 추가 악성코드를 다운로드 및 실행한다.

SectorJ74 그룹의 활동은 이탈리아, 아일랜드, 독일, 미국, 핀란드에서 발견되었다. 해당 그룹은 예약 내역으로 위장한 스피어 피싱(Spear Phishing) 이메일을 사용했으며, 템플릿 인젝션(Template Injection) 기법을 사용하는 MS 워드(Word) 악성코드를 첨부하여 공격 대상이 실행하도록 유도했다. 최종적으로 원격 제어 기능을 가진 악성코드를 사용하여 시스템 정보 수집 및 명령 및 제어를 시도했다.

SectorJ110 그룹의 활동은 러시아, 미국, 스페인, 우크라이나에서 발견되었다. 해당 그룹은 내부에 청구서로 위장한 자바스크립트(JavaScript) 파일 형식의 악성코드가 존재하는 압축파일을 첨부하여 피싱 메일(Phishing Mail)을 배포했으며, 최종적으로 추가 악성코드를 다운로드 및 실행할 수 있는 기능을 가진 악성코드를 사용했다.

SectorJ111 그룹의 활동은 사우디 아라비아, 미국, 이란, 멕시코, 체코, 세르비아, 헝가리, 방글라데시, 스웨덴, 한국, 핀란드, 베트남, 캐나다, 인도, 칠레, 루마니아, 알제리, 영국, 베네수엘라, 이탈리아, 케냐, 독일, 브라질, 오스트리아, 필리핀 제도, 싱가포르, 카타르, 프랑스, 스페인, 태국, 일본, 팔레스타인, 홍콩, 중국에서 발견되었다. 해당 그룹은 추가 악성코드 다운로드 및 실행 기능을 가진 악성코드를 무료 소프트웨어 제공 피싱 사이트(Phishing Site)로 배포했으며, 공격 대상이 악성코드를 실행할 경우 마이크로소프트(Microsoft)를 사칭한 피싱 사이트(Phishing Site)를 보여주며, 신용카드 정보 입력을 유도한다.

SectorJ112 그룹의 활동은 미국, 멕시코, 인도네시아, 태국, 러시아, 남아프리카, 인도, 앙골라, 필리핀, 아르헨티나, 대만에서 발견되었다. 해당 그룹은 빅데이터에 활용할 데이터를 확보하고, 광고 실행과 같은 수익 창출을 위해 안드로이드(Android) 악성코드를 사용했으며, 다른 해킹 그룹들에게 정보를 판매할 목적으로 민감한 정보를 탈취했다.

SectorJ113 그룹의 활동은 도미니카 공화국, 영국, 세인트루시아, 이스라엘, 캐나다, 보스니아 헤르체고비나, 바베이도스, 이탈리아, 페루, 네덜란드, 벨라루스, 싱가포르, 튀르키예, 코스타리카, 우즈베키스탄, 베네수엘라, 대만, 인도, 홍콩, 이집트, 라트비아, 프랑스, 한국, 독일, 중국, 바레인, 러시아, 미국에서 발견되었다. 해당 그룹은 금전적인 이윤을 확보하기 위해 바북 랜섬웨어(Babuk Ransomware)를 사용했으며, 공격 대상이 몸값을 지불할 가능성을 높이기 위해 유출된 데이터를 공개하겠다고 위협하는 이중 갈취 공격을 사용했다.