Operation “ToyBox Story” · 2025-03
Operation “ToyBox Story”
Analysis of APT37 Attack Case Disguised as a Think Tank for National Security Strategy in South Korea (Operation. ToyBox Story)
https://www.genians.co.kr/en/blog/threat_intelligence/toybox-story
한국 국가안보전략 싱크탱크 위장 APT37 공격 사례 분석 (작전명. 토이박스 스토리) · 2025-05-12
meta description: 25년 3월, APT37 그룹이 드롭박스를 악용해 LNK가 포함된 압축 파일을 유포했습니다.
LNK 파일에 악성 코드를 삽입한 뒤 RoKRAT을 파일리스 방식으로 실행하는 전략을 구사했으며, 파일 실행 시 ‘toy’ 키워드가 포함된 추가 악성 코드가 작동하도록 설계했습니다. | attribution sentence: ◈ 주요 요약 (Executive Summary) 한국 국가안보전략 싱크탱크의 학술회의 안내정보로 위장해 관심끌기 '트럼프 2.0 시대, 전망 및 한국의 대응' 주제로 실제 진행 예정인 행사로 유인 드롭박스(Dropbox) 클라우드를 통해 LNK 유형의 악성파일 유포 APT37그룹, C2 서버를 pCloud, Yandex 클라우드에 이어 Dropbox 사용 Fileless 유형의 위협 탐지 성능향상을 위해 EDR 기반 이상행위 헌팅 필요 1. | target sentence: ○ 대표적인 명령으로 프로세스 종료 및 악성 스크립트 삭제(공격 흔적 제거), 이동식 드라이브에 대한 정보 저장이 있습니다.
Analysis of APT37 Attack Case Disguised as a Think Tank for National Security Strategy in South Korea (Operation. ToyBox Story) · 2025-05-12
meta description: APT37 used Dropbox to spread ZIP files with malicious LNK files that filelessly executed RoKRAT and triggered extra malware with the keyword ‘toy’. | attribution sentence: ◈ Executive Summary Disguised the content as an academic forum invitation from a South Korean national security think tank to attract attention Lured targets by referencing an actual event titled “Trump 2.0 Era: Prospects and South Korea’s Response” Delivered malicious LNK files via the Dropbox cloud platform APT37 used Dropbox as a C2 server, following earlier use of pCloud and Yandex EDR-based a | target sentence: ◈ Executive Summary Disguised the content as an academic forum invitation from a South Korean national security think tank to attract attention Lured targets by referencing an actual event titled “Trump 2.0 Era: Prospects and South Korea’s Response” Delivered malicious LNK files via the Dropbox clou