Multiple organizations in South Korea · 24/06/2024
Researchers from AhnLab reveal that a South Korean ERP vendor's product update server has been attacked and used to deliver the backdoors named HotCroissant and Riffdoor and the Xctdoor malware. [Date Occurred: -; Date Discovered: -]
Xctdoor Malware Used in Attacks Against Korean Companies (Andariel) · 2024-06-24
excerpt: AhnLab SEcurity intelligence Center (ASEC) recently discovered a case where an unidentified threat actor exploited a Korean ERP solution to carry out an attack. After infiltrating the system, the threat actor is believed to have attacked the update server of a specific Korean ERP solution to take control of systems within the company. In another […] | attribution sentence: This method is similar to a case in 2017 when the Andariel group used it to install the HotCroissant backdoor. | target sentence: The targets of these attacks have been identified as the Korean defense and manufacturing industries.
국내 기업 대상 공격에 사용 중인 Xctdoor 악성코드 (Andariel) · 2024-06-24
excerpt: AhnLab SEcurity intelligence Center(ASEC)은 최근 특정되지 않은 공격자가 국내 ERP 솔루션을 악용하여 공격을 수행하는 정황을 확인하였다. 공격자는 시스템에 침투한 이후 기업 내의 시스템들을 장악하기 위해 국내 특정 ERP 솔루션의 업데이트 서버를 공격한 것으로 추정된다. 또 다른 공격 사례에서는 취약한 웹 서버를 공격하여 악성코드를 유포하였다. 공격 대상이 된 곳은 국내 방산 업체, 제조업 등이 확인된다. 확인된 […] | attribution sentence: 확인된 악성코드들 중에는 기존 ERP 솔루션의 업데이트 프로그램에 악성 루틴이 삽입된 형태가 존재하는데 이러한 방식은 2017년 Andariel 그룹이 HotCroissan 백도어를 설치하기 위해 사용했던 사례와 유사하다. | target sentence: XcLoader는 주로 탐색기 프로세스를 인젝션 대상으로 하지만 “sihost.exe” 프로세스를 선택하는 경우도 존재한다.
국내 방산·제조업을 노린 Xctdoor 백도어... 자원관리솔루션 악용 · 2024-08-28
attribution sentence(s): 北 해킹그룹 안다리엘 소행으로 추정 | [보안뉴스 박은주 기자] 북한 해킹 그룹 안다리엘(Andariel)로 추정되는 공격자가 국내 ERP 솔루션(전사적자원관리)을 악용해 국내 방산 업체, 제조업 등을 공격한 정황이 드러났다. | 이 방식은 2017년 안다리엘이 HotCroissan 백도어를 설치하기 위해 사용했던 사례와 유사했다.