::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.

▒ [해커대학 - hackers college] ▒

작성자: 해커즈뉴스

장르: 악성코드

2023/5/7(일)

이란 APT 그룹의 새로운 무기 벨라시아오, 이란 해커의 발전상 드러내

새로운 멀웨어가 출현해 미국, 유럽, 튀르키예, 인도를 폭격하고 있다. 배후에 이란이 있는 것으로 보인다. 이 멀웨어의 이름은 벨라시아오(BellaCiao)이며, 일종의 드로퍼로 분류된다. APT 그룹인 차밍키튼(Charming Kitten)이 배후에 있는 것으로 의심되고 있으며, 고도의 표적 공격에 주로 이용된 것으로 조사되고 있다.

[이미지 = utoimage]

고도화 된 위협
보안 업체 비트디펜더(Bitdefender)가 발견한 벨라시아오는 그 동안 이란의 해킹 단체들이 사용해 온 멀웨어들과 여러 가지 면에서 차이점을 가지고 있다. 먼저는 고도화 된 표적 공격에 특화되어 있다는 것이고, C&C 서버와의 독특한 교신 방법 때문에 탐지가 어렵다는 것이라고 비트디펜더는 자사 블로그를 통해 공개했다.

“저희가 수집한 샘플들 모두 피해자에 맞게 커스커마이징 되어 있었습니다. 즉 똑같은 멀웨어가 있는 그대로 사용된 사례가 하나도 없다는 겁니다. 모든 공격에 차이점이 존재합니다.” 비트디펜더의 기술 솔루션 책임자인 마틴 주겍(Martin Zugec)의 설명이다. “일례로, 모든 샘플들에 피해자에 대한 정보가 하드코딩 되어 있는데, 그게 전부 다릅니다. 피해자의 회사 이름, IP 주소, 각종 서브도메인이 멀웨어 샘플에 개별적으로 지정되어 있기 때문입니다.”

벨라시아오를 활용하는 차밍키튼의 의도는 노골적이다. 벨라시아오를 각 피해자에 맞게 조작해 피해자에 어울리는 고유의 공격을 실시하는 것이다. “빌드 정보를 분석했을 때 벨라시아오의 개발자는 공격 표적들을 폴더별로 지정해 목록화 하고 있음을 알 수 있었습니다. 그리고 이 폴더들은 국가별로 분류되어 있었죠. 피해자에 딱 맞는 공격을 하기 위해 여러 가지로 노력을 한 것입니다.”

C&C 명령을 받는 독특한 방법
주겍은 벨라시아오와 C&C 서버의 교신 방법이 꽤나 독특하다고 짚는다. “결론적으로 얘기해 멀웨어와 서버 간 통신은 DNS 이름 분석 행위에 기반을 두고 있습니다. 기존 방법으로 탐지할 만한 통신 행위가 없다는 뜻입니다. 벨라시아오에 감염된 호스트들은 인터넷 서버들에 DNS 이름 분석을 요청합니다. 그러면 그 서버들이 IP 주소값을 보내주죠. 어떤 형태로 그 IP 주소 정보가 전달되느냐에 따라 벨라시아오의 악성 행위가 결정됩니다. 즉 IP 주소를 구성하는 각 조각들이 명령이 된다는 겁니다.”

그러면서 주겍은 전화번호를 예로 들어 설명한다. “예를 들어 전화번호의 국가 코드는 벨라시아오라는 드로퍼가 할 일을 전달하고, 지역 코드는 어떤 멀웨어를 추가로 다운로드 받아야 하는지를 지정하고, 전화번호 앞자리 수는 피해자의 어떤 폴더에 멀웨어를 심을지를 알려주는 식입니다. DNS 분석 요청과 회신만으로 이렇게 명령이 전달되니 기존 트래픽 탐지 기술로는 잡아낼 수가 없습니다.”

점점 더 공격적으로
차밍키튼은 이란의 정부가 뒤를 봐주고 있는 공격 단체다. 최소 2014년부터 활동해 온 것으로 알려져 있다. 그 동안 이란 정부를 대신해 여러 국가의 정부 기관, 기자, 싱크탱크, 학술 기관 등을 공격해 왔다. 이란 정부와 관련이 깊거나, 이란 정부에 대한 연구나 조사를 진행하는 인물과 단체를 대상으로 각종 정보를 수집하는 게 이들의 주요 목적이었다. 지난 해 보안 업체 프루프포인트(Proofpoint)는 이들이 납치와 같은 물리적 공격과도 연루되어 있다고 발표하기도 했었다.

또한 차밍키튼은 자신들의 공격 행위를 계속해서 업그레이드시키는 단체이기도 하다. 특히 2021년 중반 에브라힘 라이시가 대통령으로 선출되면서 공격력을 크게 높였다. 비트디펜더도 “2021년 이란 정권이 바뀌면서 차밍키튼도 보다 공격적인 그룹으로 변모해 왔다”고 설명한다. “그 때부터 차밍키튼은 새로운 취약점을 빠르게 익스플로잇 하고 있습니다. 공개된 개념증명용 코드도 능동적으로 이용하고요.”

주겍은 “이란의 공격 단체들이 전체적으로 발전을 거듭하고 있다”고 경고한다. “특히 랜섬웨어를 사용해 금전적인 이득을 보고자 하는 시도가 더 활발해지고 있습니다. 이들이 이렇게 돈을 노골적으로 노리기 시작한다는 건 더 장기적인 악행을 시도하고자 하는 연료를 비축하고 있다는 뜻이 됩니다. 이란 해커들의 활동력은 앞으로 더 왕성해질 것으로 예상됩니다.”

번호	장르	제 목	작성일

9584	디도스, 사건사고	친러 성향 해킹 그룹, 프랑스 상원 웹사이트에 디도스 공격 가해	2023/05/09

9583	사건사고	울산 고등학생 6만9천명 정보 유출..경기도교육청 해킹 당해	2023/05/08

9582	악성코드	이란 APT 그룹의 새로운 무기 벨라시아오, 이란 해커의 발전상 드러내	2023/05/07

9581	기타	해커 그룹이 문건 공개… 이란 정부에게 탄압받은 이란 축구 레전드 알리 카리미	2023/05/07

9580	기타	"심리 이용한 北 해킹 기승… 훔친 이더리움 쪼개고 바꿔서 돈세탁	2023/05/07

9579	보안	中해킹 피해기업 일부, 10년 넘은 보안프로그램 사용	2023/05/07

9578	보안	개인정보 유출, 내부 부주의 단속만 해선 안 돼…해킹 방지 조치도 해야	2023/05/07

9577	사건사고, 보안	경기도 교육청 성적 추가 유출 더 있었다…"3년째 290만건"	2023/05/04

9576	기타	中, CIA발 사이버공격 의혹 담은 보고서 '해커제국' 발표	2023/05/04

9575	사건사고	학력평가 성적 유출은 해커 소행...최초 유포자는 ‘재수생’	2023/05/04