Monthly Threat Actor Group Intelligence Report, June 2024 (KOR)

온라인 가상 공간에서 활동하는 사이버 범죄 그룹은 이번 6 월에는 총 12개 해킹 그룹의 활동이 발견되었으며, 이들은 SectorJ09, SectorJ25, SectorJ57, SectorJ93, SectorJ94, SectorJ110, SectorJ177, SectorJ178, SectorJ179, SectorJ180, SectorJ181, SectorJ185 그룹이다.

이들은 다른 정부 지원 해킹 그룹들과 다르게 현실 세계에서 금전적인 이윤을 확보할 수 있는 재화적 가치가 있는 온라인 정보들을 탈취하거나, 직접적으로 특정 기업 및 조직들을 해킹 한 후 내부 네트워크에 랜섬웨어(Ransomware)를 유포하거나, 중요 산업 기밀을 탈취한 후 이를 빌미로 금전적 대가를 요구하는 협박 활동 등을 수행한다.

SectorJ09 그룹은 콘텐츠 관리 시스템(Content Management System, CMS)을 대상으로 사용자가 입력하는 결제 정보를 탈취하는 폼재킹(Form jacking) 공격을 수행했으며, 특히 워드프레스(WordPress)용 전자상거래 플러그인 중 하나인 우커머스(WooCommerce)의 일부 파일에 결제 정보를 탈취하는 기능을 수행하는 난독화 된 스크립트를 삽입한 것으로 확인된다.

SectorJ25 그룹은 암호화폐(Cryptocurrency) 채굴을 위해 배시(Bash) 악성코드를 사용했으며, 해당 그룹이 사용한 배시 악성코드는 시스템 정보를 수집하고 암호화폐 채굴을 위해 시스템 설정을 변경한 것으로 확인된다.

SectorJ57 그룹의 활동은 미국, 스페인, 이탈리아, 캐나다에서 발견되었다. 해당 그룹은 랜섬웨어를 유포하기 위해 악성 URL을 첨부한 피싱 메일을 사용했다. 공격 대상이 피싱 메일에 첨부된 링크를 클릭하면 비주얼 베이직 스크립트(Visual Basic Script, VBS) 파일이 압축된 압축파일이 다운로드 된다. 공격 대상이 비주얼 베이직 스크립트 파일을 실행하면 공격 대상 시스템에 추가적인 악성코드를 다운로드할 수 있는 DLL 파일이 공격 대상 시스템에 다운로드 되며, 해당 그룹은 이를 통해 랜섬웨어를 유포한 것으로 확인된다.

SectorJ93 그룹은 가짜 브라우저 업데이트 사이트로 위장한 피싱 페이지를 사용했으며, 공격 대상이 피싱 페이지에서 유포되는 악성코드를 다운로드하도록 유도했다. 공격 대상이 악성코드를 다운로드하는 버튼을 클릭하면 크롬 업데이트(Chrome Update) 이름으로 위장한 자바스크립트(JavaScript) 악성코드가 다운로드 되며, 다운로드 된 자바스크립트 파일은 파워쉘(PowerShell)을 통해 C2 서버로부터 봇(Bot) 악성코드를 다운로드한 것으로 확인된다. 해당 그룹은 봇 악성코드를 통해 공격 대상 시스템 정보를 탈취하고 C2 서버로 전송하고자 한 것으로 확인된다.

SectorJ94 그룹은 공격 대상 시스템 데이터를 탈취하기 위해 봇(Bot) 악성코드를 사용한 것으로 확인되며, 이들은 통신하는 트래픽을 RC4 알고리즘으로 암호화했으며 HTTP 프로토콜을 통해 C2 서버로 탈취한 데이터를 전송했다.

SectorJ110 그룹의 활동은 네덜란드, 우크라이나에서 발견되었다. 해당 그룹은 재무 부서에서 발송한 것처럼 위장한 피싱 메일을 통해 악성코드가 압축된 압축 파일을 유포했다. 공격 대상이 압축 파일에 포함된 윈도우 액세스 데이터베이스 파일(Windows Access Database File, ACCDB)을 클릭하게 되면, 콘텐츠 활성화(Enable Content) 버튼을 클릭하도록 유도하는 이미지 파일이 첨부된 테이블이 존재한다. 공격 대상이 콘텐츠 활성화 버튼을 클릭하게 되면 문서에 첨부된 비주얼 베이직 스크립트(Visual Basic Script, VBS)가 실행되며 공격 대상 시스템에 추가적인 악성코드를 다운로드한 것으로 확인된다.

SectorJ177 그룹의 활동은 독일, 러시아, 미국에서 발견되었다. 해당 그룹은 마이크로소프트 윈도우 에러 리포팅 서비스(Microsoft Windows Error Reporting Service)에 존재하는 권한 상승 취약점(Privilege Management Vulnerability, CVE-2024-26169)을 활용했다. 해당 그룹은 공격 대상 시스템에 해당 취약점을 활용하기 위해 익스플로잇 도구(Exploit Tool)를 사용했으며, 취약점을 통해 블랙 바스타 랜섬웨어(Black Basta Ransomware)를 유포하고 실행한 것으로 확인된다.

SectorJ178 그룹의 활동은 미국, 스페인, 중국, 캄보디아에서 발견되었다. 해당 그룹은 윈도우 무결성 검사 프로그램(Tiworker.exe)로 위장한 악성코드를 실행했으며, 해당 악성코드는 C2 서버로부터 추가적인 악성코드를 다운로드하는 파워쉘(PowerShell)을 실행한다. 다운로드 된 악성코드는 윈도우 디펜더(Windows Defender)를 비활성화하고 공격 대상 시스템에서 지속적으로 암호화폐를 채굴하기 위해 작업 스케줄러(Task Scheduler)를 생성했다.

SectorJ179 그룹은 데이터 플랫폼인 스노우플레이크(Snowflake) 제품을 이용하는 고객들의 유출된 인증 정보를 악용하여 스노우플레이크 인스턴스에 접근하여, 데이터를 탈취한 것으로 확인된다.

SectorJ180 그룹은 채용과 관련된 내용으로 위장한 피싱 메일을 발송했으며, 피싱 메일에는 합법적인 페이지처럼 위장한 링크를 첨부하여 공격 대상이 클릭하도록 유도했다. 공격 대상이 첨부된 URL로 접속하면 캡챠(CAPCHA)로 위장한 문서를 다운로드하도록 유도했으며, 이를 다운로드하게 되면 난독화(Obfuscated) 된 자바스크립트(JavaScript) 파일이 공격 대상 시스템으로 다운로드 된다. 자바스크립트 파일은 C2 서버와 통신하는 기능을 수행하는 DLL 파일을 추가적으로 다운로드했으며, 지속적으로 동작하도록 작업 스케줄러와 컴포넌트 오브젝트 모델 개체 (Component Object Model, COM Object)를 활용했다.

SectorJ181 그룹의 활동은 브라질, 칠레에서 발견되었다. 해당 그룹은 스틸러(Stealer) 악성코드를 유포하기 위해 클라우드 플랫폼(Cloud Platform)을 활용했다. 해당 그룹은 클라우드 플랫폼을 통해 윈도우 바로가기(LNK) 파일과 JPG 확장자로 위장된 Base64 인코딩 파일을 압축한 압축 파일을 유포했다. 해당 그룹은 이러한 방법으로 유포한 스틸러 악성코드를 통해 공격 대상 시스템의 데이터를 탈취하고자 한 것으로 확인된다.

SectorJ185 그룹의 활동은 나이지리아, 미국, 우크라이나, 인도, 중국, 홍콩에서 발견되었다. 해당 그룹은 이력서와 관련된 내용으로 위장한 압축 파일을 통해 악성코드를 유포한 것으로 확인된다. 압축 파일에는 윈도우 바로가기(LNK) 파일이 압축되어 있으며, 공격 대상이 윈도우 바로가기 파일을 실행하면 미끼용 PDF 파일이 실행되고 LNK 파일 내부에 인코딩 된 DLL 데이터를 TEMP 경로에 생성한다. 디코딩 된 DLL 형식의 PE 파일은 최종적으로 퍼피 원격제어 악성코드(Pupy RAT)를 메모리에 로드하게 되며, C2 서버로부터 전달받은 명령에 따라 시스템 정보 수집, 키로깅(Keylogging) 등 다양한 명령을 수행하고자 한 것으로 확인된다.