킴수키(Kimsuky)조직, '협의 이혼 의사 확인 신청서'를 카지노 게임 종류 QuasarRAT 유포 중!

주로 피싱/스팸 메일이나 크랙 프로그램을 통해 유포되었던 카지노 게임 종류이 매크로가 포함된 워드 파일을 통해 유포된 정황이 포착되어 사용자들의 각별한 주의가 필요합니다.

카지노 게임 종류은공격자로하여금원격접근이가능하도록허용하는악성코드로,사용자계정및사용자환경정보수집이가능하며,원격코드실행및파일업/다운로드등추가악성행위가가능합니다.

이번에 수집된 샘플은 "협의 이혼 의사 확인 신청서" 워드파일을 카지노 게임 종류하고 있으며, 악성 매크로가 포함되어 있습니다.

사용자가 파일을 실행하면 [콘텐츠 사용] 버튼 클릭을 유도하며, [콘텐츠 사용] 버튼을 누르면 협의이혼의사확인신청서 양식을 보여주며 정상파일인것 처럼 카지노 게임 종류합니다. 하지만 백그라운드에서는 AutoOpen() 함수에 의해 사용되 워드 파일에 포함된 매크로가 자동 실행됩니다

여기에서 주목할만한 점은 일반적인 워드카지노 게임 종류과는 다르게,카지노 게임 종류 형식은 .doc 카지노 게임 종류이지만 .hwp 카지노 게임 종류 형식로 보여진다는 점입니다.이는공격자들이 법원 전자민원센터에서 제공되는 한글 카지노 게임 종류(.hwp)을 워드 카지노 게임 종류(.doc)로 저장하여 이번 공격 디코이 카지노 게임 종류로 사용했음을 추측할 수 있습니다.

매크로가 실행되면 공격자가 미리 설정해 놓은 c2에 접속하여 악성 카지노 게임 종류을 version.ini 카지노 게임 종류명으로 저장하고 실행합니다. version.ini 카지노 게임 종류이 실행되면 version.ini, runps.vbs, conf.ps1 카지노 게임 종류을 생성하고 실행합니다.

version.ini 파일은 실행 후 작업 스케쥴러 등록을 통하여 사용자 PC에서의 연속성을 확보하며, runps.vbs는 실행 후 conf.ps1를 실행하며, 실행된 conf.ps1 파일은 공격자가 지정해 놓은 c2에 접속하여 추가 파일을 내려받습니다. 이후 몇 차례 c2 접속 및 파일 다운로드를 반복 후 최종적으로 최종적으로 카지노 게임 종류을 실행합니다.

ESRC는 여러 지표들을 분석한 결과, 이번 공격은 북한이 배후에 있는 APT 카지노 게임 종류의 '스모크 스크린(Smoke Screen') 공격 활동의 연장선으로 결론지었습니다.

북한정찰총국의 지원을 받는 해커 카지노 게임 종류의 국내 공격이 거세지고 있습니다.

사용자 여러분들께서는 의심스러운 카지노 게임 종류들의 실행을 지양해 주시기 바라며, 알약과 같은 백신 설치를 통하여 안전한 PC 환경을 만드시기 바랍니다.

현재 알약에서는 해당 악성코드에 대해Trojan.Downloader.DOC.Gen,Backdoor.MSIL.Quasar.gen,Trojan.PowerShell.Agent등으로 탐지중입니다.

IoC

E0CF0881DE0FE35732BB02C1F4DF02A3

3C687FB0A1921A53F9C607938F25FDD1
8F411A46490016AC5D126B83CEE65022
D4BB07F5A9462612CD0E8A9290E27FC8

*c2는 현재도 접속이 가능하여 비공개