::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.

■ 2010년도 국내외 보안 해킹 뉴스 보러가기 ■
■ 2009년도 국내외 보안 해킹 뉴스 보러가기 ■
■ 2008년도 국내외 보안 해킹 뉴스 보러가기 ■
■ 2007년도 국내외 보안 해킹 뉴스 보러가기 ■
■ 2006년도 국내외 보안 해킹 뉴스 보러가기 ■
■ 2005년도 국내외 보안 해킹 뉴스 보러가기 ■

기사 분류: 해킹

2021/3/12(금)

北 추정 탈륨 해킹그룹, 외교안보 전문가 대상 표적 공격 수행

국내 유명 언론사, 민간 정책연구소, 전문 학회 등을 사칭해 안보·통일·외교 정책 분야 전문가 노려

[보안뉴스 원병철 기자] 북한의 해킹그룹으로 잘 알려진 탈륨(Thallium)이 최근 국내 유명 언론사, 민간 정책연구소, 전문 학회 등을 사칭해 안보·통일·외교 정책 분야 전문가를 대상으로 전방위적 해킹을 시도한 동향이 발견돼 각별한 주의가 요구된다.

▲악성 문서 실행 후 보이는 화면[자료=ESRC]

이번 사건에 연루된 ‘탈륨’은 미국 마이크로소프트(MS)로부터 정식 고소를 당해 국제 사회에 주목을 받은 해킹 조직이다. 한국에서는 외교·안보·통일·국방 분야의 전·현직 관계자를 주요 해킹 대상으로 삼아 사이버 첩보전 활동을 활발히 전개하고 있는데, 얼마 전 통일부를 사칭한 피싱 공격도 이들 소행으로 확인된 바 있다.

이스트시큐리티 시큐리티대응센터(ESRC, 센터장 문종현)는 탈륨 그룹은 주로 국내 외교 안보분야 전문가로 활동하는 인물들을 노리며, 대북정책 포럼이나 유명 안보 단체처럼 사칭해 선별한 특정인을 대상으로 논문이나 기고문 원고 요청, 학술회의 세미나 참석 신청서, 사례비 지급 의뢰서나 개인정보 이용 동의서 문서로 위장한 신규 악성 파일을 첨부해 전달하는 방식으로 공격을 수행한다고 설명했다.

보통 활동 분야나 주제에 따라 현혹하기 위한 미끼용 본문이 달라지기 마련인데, 최근 실제 사례들을 종합해 본 결과 공통적으로 이메일 회신을 요청하며, 자연스럽게 첨부된 악성 문서를 열람하도록 유도하는 특징이 발견됐다. 특히, 해킹 이메일에 속은 수신자가 회신할 경우 공격자는 나름 적극적으로 답변하는 등 신뢰 기반을 동원한 전술이 갈수록 과감하고 노골적인 양상으로 진화하는 모습을 보이고 있다.

기존에 널리 쓰이던 HWP 문서의 취약점 대신 최근에는 DOC 워드 문서를 이용한 공격이 늘고 있다. 악성 매크로나 원격 템플릿 실행을 유도하기 위해 DOC가 처음 열릴 때 허위로 조작된 영문 화면을 먼저 보여주고, ‘콘텐츠 사용’ 버튼 클릭을 유도하는 수법이다. 분석 결과, 영문 유도 화면은 이미 해외에서 보고된 바 있는 ‘TA551’ 문서 템플릿과 유사한 사례도 있는데, 탈륨 조직이 이를 모방한 것으로 추정된다, 공격에 사용된 명령제어(C2) 서버는 ‘yezu212.myartsonline[.]com’, ‘quarez.atwebpages[.]com’ 등이 사용됐다고 ESRC는 설명했다.

▲악성 DOC 문서가 실행 시 보이는 가짜 메시지 화면[자료=ESRC]

전문가들은 “최근 악성 DOC 파일을 이용한 스피어 피싱 공격이 기승을 부리고 있고, 피해 대상자의 해당 분야에 따라 맞춤형 공격 시나리오를 적절히 구사하고 있다”며, “특정 정부와 연계된 것으로 알려진 탈륨의 사이버 공격 수위는 갈수록 증대되고 있어 유사한 위협에 노출되지 않도록 민관의 각별한 주의와 관심이 요구된다”고 당부했다. 또한 “최근 공격자들이 사용한 명령제어(C2) 서버들은 해외 호스팅을 사용하는 경우가 많지만, 간혹 국내 웹 서버를 사용하는 경우도 있어 서버 관리자의 정기적인 보안 점검과 강화가 필요하다”고 덧붙였다.

한편, 알약에서는 해당 악성코드를 ‘Trojan.Downloader.DOC.Gen’ 탐지명으로 진단하고 있으며, 추가 침해 지표(IoC)는 Threat Inside 웹서비스 구독을 통해 확인이 가능하다.

번호	기사 분류	♤	기사 제 목	기사 작성일

2016년도 국내외 보안/해킹 관련 기사입니다.

8339	가상화폐		메타마스크 해킹, 다크코인 상장 폐지	2021-03-15

8338	해킹		이특, 9년째 SNS 해킹 피해 호소 "탈퇴 할 수밖에 없다"	2021-03-14

8337	기타		권경애, 文 대통령 SNS에 "분노·짜증 노출…해킹당한 줄"	2021-03-13

8336	해킹		北 추정 탈륨 해킹그룹, 외교안보 전문가 대상 표적 공격 수행	2021-03-12

8335	기타		韓美가 컴퓨터 시뮬레이션 훈련하자 北, 무력 도발 대신 전방위 해킹 공격	2021-03-11

8334	해킹		MS 이메일 노린 해킹…피해 기업·기관 수만곳	2021-03-10

8333	해킹		"설마 내 폰도 감염?" 국내서 휴대폰 4만대 해킹당해…가짜 인터넷뱅킹 앱...	2021-03-09

8332	해킹		美, 3만개 메일 서버 해킹공격 당해	2021-03-08

8331	해킹		MS 이메일 노린 해킹, 최대 수십 만 피해..이번엔 "중국 소행?"	2021-03-07

8330	가상화폐		"비트코인 입출금 할까 말까…" 둘로 나뉜 은행권	2021-03-06

8329	보안		TJB해킹 원천봉쇄 양자직접통신 첫 발	2021-03-05

8328	해킹		MS "중국 연계 해킹 그룹이 단체·기업 이메일 탈취 시도"	2021-03-04

8327	보안		미래는 어떻게 될 것인가 / 솔라윈즈 사태 그 후	2021-03-03

8326	기타		청년마케터, 그로스해킹 월간모임 성료	2021-03-02

8325	기타		북한 배후 해커들, 10여 개국 국방 관련 조직 해킹	2021-03-01