Monthly Threat Actor Group Intelligence Report, September 2024 (KOR)

온라인 가상 공간에서 활동하는 사이버 범죄 그룹은 이번 9월에는 총 18개 해킹 그룹의 활동이 발견되었으며, 이들은 SectorJ01, SectorJ04, SectorJ06, SectorJ09, SectorJ25, SectorJ39, SectorJ73, SectorJ74, SectorJ84, SectorJ85, SectorJ110, SectorJ113, SectorJ119, SectorJ149, SectorJ172, SectorJ176, SectorJ189, SectorJ190그룹이다.

이들은 다른 정부 지원 해킹 그룹들과 다르게 현실 세계에서 금전적인 이윤을 확보할 수 있는 재화적 가치가 있는 온라인 정보들을 탈취하거나, 직접적으로 특정 기업 및 조직들을해킹 한 후 내부 네트워크에 랜섬웨어(Ransomware)를 유포하거나, 중요 산업 기밀을 탈취한 후 이를 빌미로 금전적 대가를 요구하는 협박 활동 등을 수행한다.

SectorJ01 그룹은 피싱 사이트를 통해 악성코드를 유포했으며, 공격 대상이 피싱 사이트에 접속하게 되면 브라우저 확장 프로그램이 필요하다는 내용의 팝업창을 띄워 공격 대상이 다운로드 버튼을 클릭하도록 유도했다. 공격 대상이 다운로드 버튼을 클릭하면 다운로드 버튼에 하이퍼링크 된 드롭박스(Dropbox)로부터 윈도우 인스톨러(Microsoft Silent Installer) 형태의 추가적인 악성코드를 다운로드할 수 있는 것으로 판단된다.

SectorJ04 그룹의 활동은 독일, 러시아, 스페인, 미국, 브라질, 스위스, 인도, 중국, 터키, 폴란드, 프랑스에서 발견되었다. 해당 그룹은 오디오 파일인 것처럼 위장한 트로이목마 악성코드를 사용했다. 해당 악성코드는 공격 대상 시스템 정보 수집, 키로깅(Key Logging), 화면 캡쳐(Screen Capture), 클립보드(Clipboard) 데이터 수집 등의 기능을 수행하는 것으로 확인된다.

SectorJ06 그룹의 활동은 독일, 러시아, 스페인, 미국, 브라질, 스위스, 인도, 중국, 터키, 폴란드, 프랑스에서 발견되었다. 해당 그룹은 금전적인 이익을 확보하기 위해 콘티(Conti) 랜섬웨어를 사용하여 공격 대상 시스템을 암호화하였으며, 어니언(Onion) 도메인을 통해 금전적인 논의를 할 수 있도록 랜섬노트를 통해 이를 전달한 것으로 확인된다.

SectorJ09 그룹의 활동은 스위스에서 발견되었다. 해당 그룹은 온라인 쇼핑몰을 대상으로 난독화 된 스키밍 자바스크립트를 삽입하여, 공격 대상이 결제 페이지에 입력한 신용 카드 정보 등의 금융 정보를 탈취하는 폼재킹(FormJacking) 공격을 수행했다.

SectorJ25는 무차별 대입 공격을 통해 공격 대상 시스템에 침투한 후, 악성 스크립트를 공격 대상 시스템에 업로드했다. 해당 그룹이 업로드한 악성 스크립트는 채굴 악성코드와 관련된 프로세스를 종료하고, 공격 대상 시스템에 루트킷(Rootkit)을 설치하는 기능을 수행했으며 SSH를 통해 지속적으로 공격 대상 시스템에 접근할 수 있도록 백도어 계정을 생성하는 기능을 수행한다.

SectorJ39 그룹의 활동은 미국, 영국에서 발견되었다. 해당 그룹은 금전적인 이익을 확보하기 위해 언더그라운드(Underground) 랜섬웨어를 유포했다. 해당 그룹은 어니언(Onion) 도메인을 통해 금전적인 논의를 할 수 있도록 랜섬노트를 통해 이를 전달한 것으로 확인된다.

SectorJ73 그룹의 활동은 중국에서 발견되었다. 해당 그룹은 금전적인 이익을 확보하기 위해 헬로키티(HelloKitty) 랜섬웨어를 사용했다. 랜섬웨어는 시스템에 있는 파일들을 암호화한 후 랜섬노트(RansomNote)를 생성하여 금전적인 문제를 논의할 수 있는 연락 수단인 어니언(Onion) 도메인을 전달했다.

SectorJ74 그룹의 활동은 미국에서 발견되었다. 해당 그룹은 공격 대상 시스템에 추가적인 페이로드를 로드할 수 있는 로더(Loader) 기능의 악성코드를 사용했으며, 해당 악성코드는 코드 내 암호화된 페이로드를 복호화 한 후, 프로세스 인젝션(Process Injection) 기법을 통해 공격 대상 시스템에서 실행되는 것으로 분석된다.

SectorJ84의 활동은 캐나다에서 발견되었다. 해당 그룹은 공격 대상 시스템으로부터 데이터를 탈취하기 위해 폼북(Formbook)으로 알려진 스틸러(Stealer) 악성코드를 사용했다.

SectorJ85 그룹의 활동은 러시아, 아일랜드에서 발견되었다. 해당 그룹은 깃허브(GitHub)와 같은 코드 저장소에 노출된 클라우드 인증 토큰을 악용하거나, 피싱 사이트를 통해 확보된 자격증명(Credential)을 통해 공격 대상 시스템에 침투했다. 해당 그룹은 공격 대상 시스템에 침투한 후, Active Directory 정보를 수집하고, 원격 제어 프로그램(RMM)을 실행했다. 해당 그룹은 금전적인 이익을 확보하기 위해 최종적으로 공격 대상 시스템에 블랙캣(BlackCat) 랜섬웨어를 유포했다.

SectorJ110 그룹의 활동은 미국, 프랑스에서 발견되었다. 해당 그룹은 공격 대상 시스템에 추가적인 페이로드를 로드하기 위해 로더(Loader) 기능의 악성코드를 사용했다.

SectorJ113 그룹의 활동은 네덜란드, 독일, 러시아, 브라질, 인도, 폴란드에서 발견되었다. 해당 그룹은 금전적인 이익을 확보하기 위해 크립트(QRYPT) 랜섬웨어를 사용했다. 해당 그룹은 어니언(Onion) 도메인을 통해 금전적인 논의를 할 수 있도록 랜섬노트를 통해 이를 전달한 것으로 확인된다.

SectorJ119 그룹의 활동은 네덜란드, 독일, 마다가스카르, 미국, 예멘, 우크라이나, 이라크, 이집트, 이탈리아, 인도, 인도네시아, 캐나다, 코스타리카, 크로아티아, 폴란드, 프랑스, 필리핀에서 발견되었다. 해당 그룹은 금전적인 이익을 확보하기 위해 슬램(SLAM) 랜섬웨어를 사용했다. 슬램 랜섬웨어는 암호화된 시스템에 대한 정보와 암호화 키(Key), 스크린샷을 캡쳐한 후 명령 및 제어(C2) 서버로 전송했다.

SectorJ149 그룹의 활동은 독일, 미국, 캐나다에서 발견되었다. 해당 그룹은 공격 대상 시스템에 생성한 악성코드가 안티바이러스 소프트웨어에 탐지되지 않기 위해 이와 관련된 프로세스를 무력화시키거나 강제로 종료 시키는 안티 바이러스 킬러(Antivirus Killer) 악성코드를 사용했다.

SectorJ172 그룹의 활동은 나이지리아, 미국, 싱가포르, 아일랜드, 인도, 일본, 캐나다, 헝가리, 한국에서 발견되었다. 해당 그룹은 공격 대상 시스템으로부터 데이터를 탈취하기 위해 폼북(Formbook)으로 알려진 스틸러(Stealer) 악성코드를 사용했다.

SectorJ176 그룹의 활동은 캐나다에서 발견되었다. 해당 그룹은 공격 대상의 금융 정보와 개인정보를 탈취하기 위해 파밍(Pharming) 악성코드를 사용했으며, 악성코드는 수집한 개인 정보를 명령 및 제어(C2) 서버로 전송했다.

SectorJ189 그룹의 활동은 네덜란드, 방콕, 벨기에, 싱가포르, 이란, 인도, 중국, 태국, 필리핀, 한국, 홍콩에서 발견되었다. 해당 그룹은 웹 어플리케이션을 대상으로 취약점을 악용하여 웹쉘(WebShell)을 유포했으며, 해당 그룹이 유포한 웹 쉘은 오픈소스 웹쉘 중 하나인 ASPXspy 웹쉘인 것으로 분석된다. 해당 그룹은 웹쉘을 통해 공격 대상 시스템 정보를 수집하고 플러그엑스(PlugX)로 알려진 원격 제어 악성코드와 같은 추가적인 악성코드를 실행했다. 해당 그룹은 공격 대상 시스템에 설치된 플러그엑스 악성코드를 통해 명령 및 제어(C2) 서버로부터 전달받은 명령에 따라 시스템 정보 수집, 키로깅(Key Logging), 화면 캡쳐(Screen Capture) 등의 악성 행위를 수행하고자 한 것으로 분석된다.

SectorJ190의 활동은 독일, 러시아, 미국, 영국, 우크라이나, 일본, 튀니지에서 발견되었다. 해당 그룹은 공격 대상 시스템에 록빗(Lockbit) 랜섬웨어를 실행하여 공격 대상 시스템을 암호화했으며, 추가적으로 와이퍼(Wiper) 악성코드를 사용하여 연결된 드라이브의 MBR(Master Boot Record) 영역을 손상시켜 시스템을 정상적으로 부팅할 수 없게 만들었다.