Monthly Threat Actor Group Intelligence Report, July 2024 (KOR)

온라인 가상 공간에서 활동하는 사이버 범죄 그룹은 이번 7 월에는 총 11개 해킹 그룹의 활동이 발견되었으며, 이들은 SectorJ01, SectorJ09, SectorJ64, SectorJ74, SectorJ146, SectorJ149, SectorJ154, SectorJ164, SectorJ168, SectorJ184, SectorJ187 그룹이다.

이들은 다른 정부 지원 해킹 그룹들과 다르게 현실 세계에서 금전적인 이윤을 확보할 수 있는 재화적 가치가 있는 온라인 정보들을 탈취하거나, 직접적으로 특정 기업 및 조직들을 해킹 한 후 내부 네트워크에 랜섬웨어(Ransomware)를 유포하거나, 중요 산업 기밀을 탈취한 후 이를 빌미로 금전적 대가를 요구하는 협박 활동 등을 수행한다.

SectorJ01 그룹의 활동은 네덜란드, 대만, 독일, 러시아, 루마니아, 말레이시아, 미국, 오스트리아, 이탈리아, 인도, 캐나다, 포르투갈, 프랑스, 오스트레일리아에서 발견되었다. 해당 그룹은 피싱 사이트를 통해 마이크로소프트 앱 패키지 파일 (Microsoft App Package File, MSIX)을 유포했으며 공격 대상이 해당 파일을 실행하면 MSIX 파일 내부에 포함된 파워쉘(PowerShell) 스크립트가 동작한다. 파워쉘 스크립트는 외부 서버로부터 공격 대상 시스템에 넷서포트(NetSupport) RAT 악성코드를 다운로드 및 실행했으며, 원격으로 공격 대상 시스템을 제어하여 악의적인 공격 행위를 수행하고자 한 것으로 확인된다.

SectorJ09 그룹은 난독화 된 스키밍(Skimming) 자바스크립트(JavaScript)를 통해 공격 대상이 결제 페이지에 입력한 금융 정보를 탈취하는 폼재킹(Formjacking) 공격을 수행했다.

SectorJ64 그룹의 활동은 이탈리아에서 발견되었다. 해당 그룹은 오라클 웹로직 서버(Oracle WebLogic Server)의 원격 코드 실행 취약점(Remote Code Execution Vulnerability, RCE)을 악용하여 공격 대상 시스템에 ELF(Executable and Linkable Format) 형태의 악성코드를 실행했다. 실행된 ELF 악성코드는 디도스(DDoS) 봇넷(Botnet)과 채굴 악성코드를 다운로드하는 스크립트를 추가적으로 다운로드 했다. 해당 그룹은 최종적으로 공격 대상 시스템에 다운로드 된 디도스 봇넷과 채굴 악성코드를 통해 원격으로 공격 대상 시스템을 제어하고, DDoS 공격을 수행하거나 모네로(Monero) 암호화폐(Cryptocurrency)를 채굴한 것으로 확인된다.

SectorJ74 그룹의 활동은 대만, 독일, 미국, 베트남, 사우디 아라비아, 스페인, 이스라엘, 일본, 태국에서 발견되었다. 해당 그룹은 구매주문서와 관련된 내용으로 위장한 피싱 메일을 통해 인터넷 바로가기 파일(URL)을 유포했다. 공격 대상이 첨부된 인터넷 바로가기 파일을 실행하면 마이크로소프트 윈도우 MSHTML 플랫폼의 스푸핑(Spoofing) 취약점(CVE-2024-38112)로 인해 인터넷 익스플로러(Internet Explorer)를 통해 공격자가 제어하는 URL로 접속하게 되며, 공격 대상이 HTML 애플리케이션(HTML Application HTA) 파일 형태의 추가적인 악성코드를 다운로드하도록 유도했다.

SectorJ146 그룹의 활동은 남아프리카공화국, 독일, 루마니아, 미국, 베트남, 아랍에미리트, 영국, 이스라엘, 인도, 자메이카, 체코공화국, 캐나다, 케냐, 필리핀에서 발견되었다. 해당 그룹은 세금 송장과 관련된 내용으로 위장한 피싱 메일을 통해 배치(Batch) 파일 형식의 스크립트를 포함한 압축 파일을 유포했다. 공격 대상이 배치 스크립트 파일을 실행하게 되면, 배치 스크립트 내부에 포함된 난독화 된 파워쉘(PowerShell) 명령어가 실행된다. 난독화 된 파워쉘 명령어는 공격 대상 시스템에 스틸러(Stealer) 악성코드를 다운로드 및 실행하게 되며, 해당 그룹은 공격 대상 시스템 데이터를 수집하여 이를 C2 서버로 전송한 것으로 확인된다.

SectorJ149 그룹의 활동은 네덜란드, 독일, 미국, 베네수엘라, 브라질, 아르헨티나, 아일랜드, 에스토니아, 우크라이나, 일본, 폴란드, 콜롬비아에서 발견되었다. 해당 그룹은 윈도우 바로가기(LNK) 파일을 포함한 압축 파일을 유포했으며, 공격 대상이 윈도우 바로가기 파일을 실행하도록 유도했다. 공격 대상이 윈도우 바로가기 파일을 실행하면, 파일에 포함된 파워쉘 명령어가 실행되며 외부 서버로부터 압축 파일과 미끼용 문서 파일이 다운로드 된다. 압축 파일에 포함된 DLL 파일은 DLL 사이드 로딩(Side-Loading) 기법을 통해 공격 대상 시스템에서 실행되며, 이를 통해 시스템 데이터 탈취, DDoS 공격, 랜섬웨어 유포 등과 같은 추가적인 악성 행위를 수행했다.

SectorJ154 그룹의 활동은 러시아, 체코 공화국, 태국에서 발견되었다. 해당 그룹은 회계팀에서 보낸 메일인 것처럼 위장한 피싱 메일을 통해 비밀번호가 설정된 압축 파일을 전달했다. 해당 그룹은 PDF 파일로 위장한 EXE 형태의 실행 파일을 공격 대상이 실행하도록 유도했다. 해당 그룹은 원격 제어 악성코드를 통해서 C2 서버로부터 전달받은 명령에 따라 시스템 정보 수집, 화면 캡쳐(Screen Capture), 키로깅(Keylogging) 등의 악성 행위를 수행하였다.

SectorJ164 그룹의 활동은 네덜란드, 몰도바, 미국, 스웨덴, 이탈리아, 캐나다, 키프로스, 터키, 프랑스에서 발견되었다. 해당 그룹은 금전적인 이윤을 확보하기 위해 메두사 랜섬웨어(Medusa Ransomware)를 유포했으며, 랜섬웨어는 시스템에 있는 파일들을 암호화한 이후 랜섬노트(RansomNote)를 생성하여 금전적인 문제를 논의할 수 있는 연락 수단을 전달했다.

SectorJ168 그룹의 활동은 우크라이나, 칠레에서 발견되었다. 해당 그룹은 빔(Veeam) 백업 서버(Backup Server)를 대상으로 아키라 랜섬웨어(Akira Ransomware)를 유포하기 위해 취약점을 활용했다.

SectorJ184 그룹의 활동은 한국, 독일, 미국, 스페인, 러시아, 인도, 중국, 체코 공화국, 캐나다, 터키에서 발견되었다. 해당 그룹은 공격 대상 시스템에 여러 개의 악성코드를 일괄적으로 유포하기 위해 윈도우 캐비닛(Windows Cabinet) 파일을 실행할 때 사용되는 윈도우 프로그램 “Wextract”로 위장한 로더(Loader) 악성코드를 사용했다. 해당 악성코드를 통해 C2 서버로부터 공격 대상 시스템에 봇넷(Botnet) 악성코드, 스틸러(Stealer) 악성코드 등 추가적인 악성코드를 다운로드 및 실행한 것으로 확인된다.

SectorJ187 그룹의 활동은 네덜란드, 독일, 루마니아, 미국, 영국, 중국, 캐나다, 태국, 오스트레일리아에서 발견되었다. 해당 그룹은 깃허브(GitHub)를 통해 인공지능(Artificial Intelligence, AI)와 관련된 파이썬(Python) 스크립트로 위장한 악성코드를 유포했다. 공격 대상이 파이썬 스크립트를 실행하게 되면 공격 대상의 데이터를 수집한 후, 디스코드(Discord) 웹훅(WebHook)으로 수집된 데이터를 전송했다. 또한, 해당 그룹은 자동차 시뮬레이션 게임인 “BeamNG”와 관련된 커뮤니티 포럼을 통해 루아(Lua)로 작성된 악성코드를 포함한 압축 파일을 유포했으며, 해당 루아 악성코드에서 실행되는 파워쉘에서 추가적으로 다운로드 되는 원격 제어 기능의 악성코드를 통해 록빗(Lockbit) 랜섬웨어를 유포한 것으로 확인된다.