Kimsuky, ‘사이버 보안 기관’ 사칭 피싱 이메일로 해킹 시도

안녕하세요? 동방안보보안대응센터(ESRC)입니다.


Internet Security Bureau를 사칭한 피싱 이메일이 유포되고 있으므로 사용자의 각별한 주의가 필요합니다.

피싱 메일은 북한과 연계된 회사 직원들에게 발송됐으며 사이버안전국에서 보낸 메일로 위장했다.

피싱메일에는 “정보통신망 이용촉진 및 정보보호”라는 내용의 압축파일이 첨부되어 있는데, 동일한 단어를 사용하여 사용자로 하여금 불안감을 조성하여 첨부파일을 열도록 유도하고 있습니다.

메일 내용은 아래와 같습니다.

본문에 사용된 “문서”의 경우 “문서”에 대한 북한 기호라는 점에 유의할 필요가 있습니다.

첨부파일에 “정보통신망 이용촉진 및 정보보호.chm” 파일이 포함되어 있습니다.

사용자가 chm 파일의 압축을 풀고 실행하면 정상적인 답변이 포함된 도움말 창이 사용자에게 표시되며 겉보기에는 일반 파일처럼 보이지만 백그라운드에서는 Click() 함수를 통해 악성 스크립트가 실행됩니다.

스크립트가 실행되면 인코딩된 명령은 Document.dat에 저장되고 Certutil을 사용하여 디코딩된 명령은 Document.vbs로 저장됩니다.

그런 다음 연속성을 보장하기 위해 레지스트리 Run 키에 Document.vbs를 등록합니다.

추이세로 문서.vbs는 hxxp://ibsq(.)co.kr/config/demo.txt의 powershell 스크립트 코드를 실행하여 사용자 정보 탈취를 시도합니다.

코드 분석 결과를 바탕으로 ESRC는 공격이 북한의 지원을 받는 Kimsuky 그룹에 의해 수행되었다고 결론지었습니다.

최근 Kimsuki 그룹이 CHM 파일을 이용한 다중 공격이 적발되어 북한을 상대하는 사람들은 각별한 주의가 필요합니다.

현재 Alyak은 악성 파일에 집중하고 있습니다.

트로이 목마 드롭퍼 변종 CHM테스트 중입니다.