Security-authentication program vulnerability exploited by Lazarus (March 2023) · 2023년 상반기
3월 초 북한 해킹그룹 라자루스의 해킹 할동에 악용된 것으로 추정되는 취약점이 확인되었다. I社 등 보안 인증프로그램에서 발생한 취약점으로, 인증 우회, 메모리 검증 미흡 등으로 원격코드 실행이 가능하였으며 취약점의 위험도가 매우 높은 것(CVSS 9점대)으로 판별되었다. 특히, 특정 OS 호환성을 위해 삭제되지 않고 남아있는 모듈이 타켓이 되어 공격에 활용되었음을 확인했다. [KISA report, page 15]
Operation GoldGoblin: Lazarus zero-day attack on security-software vendors using stolen source code · 2023년 상반기
라자루스 그룹은 보안 소프트웨어 개발사의 소스코드를 탈취한 전적이 있으며, 해당 보안 소프트웨어의 제로데이 취약점을 악용한 공격이 이번 오퍼레이션으로 드러났다. 공격자는 탈취한 소스코드를 분석하여 취약점을 공격하는 코드를 제작하고 연이어 다른 개발사를 공격하는 등 추가적인 공격도구를 준비하는 모습을 보인다. 그림 4-4 최초 침투된 언론사 홈페이지에서 출발한 연이은 홈페이지 감염 (KISA, TTP#10 Operation GoldGoblin) 취약점을 악용하는 워터링홀 공격에는 특정 언론사 홈페이지가 악용되었다. 일반적으로 언론사들은 타 언론사의 단독 보도 확인 등을 위하여 홈페이지를 모니터링하기도 한다. 따라서, 하나의 언론사가 감염되었을 경우 모니터링하는 언론사도 사고가 전이되는 등 감염이 연쇄적으로 확산될 수 있다. [KISA report, page 19]
KrCERT/KISA analysis of Lazarus Operation GoldGoblin (watering hole plus security-software zero-day) · 2023년 하반기
Lazarus 그룹은 대한민국을 타겟으로 활동하는 가장 위협적인 사이버위협 그룹 중 하나이다. 해당 공격그룹은 국내 대다수의 기업과 사용 자들이 사용하고 있는 보안 소프트웨어 및 언론 사이트를 최초 침투에 악용했다. 공격자는 주로 언론사의 기사페이지에 악성 스크립트를 삽입해 워터링홀 페이지로 악용했으며, 해당 페이지에 접속시 보안 소프트웨어 취약점을 통해 악성코드를 설치하는 전략을 사용했다. 이 과정에서 공격자는 보안 솔루션 개발업체의 소스코드를 탈취하여 취약점 코드를 개발한 것으로 드러났다. 공격자는 워터링홀 공격을 위해서 언론사 사이트를 이용하고, 명령제어지 구축을 위해 호스팅 업체를 악용하는 등 국내 인프라를 이용한 공격 범위 확장을 지속하고 있 었다. 우리는 이번 사고에서 확인된 주요 특징을 바탕으로 “Operation GoldGoblin” 이라고 명명한다. [KISA report, page 60]
Operation analysed: 207 PCs at 61 institutions hacked by Lazarus · 2023년 하반기
본 보고서는 61개 기관의 PC 207개를 해킹한 오퍼레이션을 기반으로 작성되었으며, KrCERT는 개별 사건을 분석, 정리하여 공통된 TTPs를 도출하였다. Lazarus 발 해킹사고라고 인지한 건 중 같은 클러스터로 판단되는 최근 5년 간의 침해사고를 리뷰하여 본 오퍼레이션의 TTPs와 기존 공 격을 비교 분석, 어떠한 공통점과 차별점이 존재하는지 설명하였다. Worst-case scenario 공격자는 이번 오퍼레이션에서도 타겟형 워터링홀 공격을 수행하였다. 타겟형 워터링홀은 IP 필터링을 통해 타겟군을 설정하여 공격을 수 행하는데, 만약 필터링 없이 전방위적인 공격을 수행했다면 탐지시점이 앞당겨질 수 있었겠지만 피해규모는 주체할 수 없이 확산 되었을 것이다. 또한 최초 침투 후 내부 전파를 거쳐 시스템 파괴 등을 수행하는 악성코드가 실행되었다면 사회적 혼란이 야기되었을 것이다. [KISA report, page 62]
Lazarus reusing data from earlier intrusions (Operation BookCodes 2020) to develop the new attack · 2023년 하반기
우리는 이번 사고를 분석하는 과정에서 흥미로운 점을 발견했다. 라자루스 그룹은 이전에 수행했던 침해사고에서 수집한 정보를 공격 도구로 악용해 공격기법을 더욱 진화시키고 있다는 것이다. 2020년 Operation BookCodes 에서 보안 소프트웨어 개발사 소스코드 탈취가 이루어 졌으며, 기존 침해사고 공격에서 획득한 자원을 통해 취약점을 연구한 것으로 보인다[1]. 또한 이 당시 다수의 언론사의 뉴스사이트가 침해당한 이력이 확인되었다. 2020년에 발생 한 언론사 해킹이 이번 사고에서 워터링홀 페이지로 악용된 직접적인 정황은 없으나, 공격자는 언론사를 지속적으로 공격하고 있으며 공격 자원으로도 악용하고 있다. 뿐만 아니라, 2018년도에 호스팅, 그룹웨어 개발 업체가 해킹사고의 경우 FALLCHILL 악성코드가 확인되었다. [KISA report, page 93]
MagicLine4NX vulnerability exploited by North Korea against about 50 institutions (March 2023); 3CX · 2023년 (2024 국가정보보호백서)
2023년 3월 북한은 ‘MagicLine4NX’ 보안인증 소프트웨어의 취약점을 악용하여 공공기관, 방산·IT 기업, 언론사 등 50여 개 기관을 해킹하였다. 이 밖에도 항공·우주·의료 등의 분야에서 사용하는 화상통신 소프트웨어 3CX 데스크톱 앱(Desktop App) 개발과정에 침투하여 설치 프로그램에 악성코드를 은닉하기도 하였다. 이렇듯 국가 배후 해킹조직에 의한 공급망 공격은 확대·지능화되고 있어, 이에 대한 대책 마련이 시급하다. 공급망 주기별 관리적·기술적 보안조치가 이루어져야 하며, 사용자들도 소프트웨어를 최신 버전으로 유지하고, 관리자 페이지에는 비인가자 접근제한 및 다중인증 적용 등 기본적 보안수칙을 준수하여야만 한다. 소프트웨어 공급망 공격 확대 [KISA report, page 12]
North Korean hackers exploit e-signature security software to hack about 50 institutions (from late 2022) · 2023년 (2024 국가정보보호백서)
첫 번째는 보안인증 소프트웨어 취약점을 악용한 해킹 사례이다. 2022년 말부터 북한의 해킹 조직이 국가·공공기관, 금융기관 등 홈페이지에 공동인증서를 활용한 로그인 시 본인인증을 위하여 PC에 설치되는 전자서명 소프트웨어의 보안 취약점을 악용하여 국가· 공공기관 및 방산·IT·언론사 등 50여 개의 기관을 해킹하였다. 국가정보원은 2023년 6월·11월 보안권고문을 통해 구버전 삭제방법 안내 및 보안 패치 권고를 재차 강조하는 등 피해 확산 차단을 위한 선제적 조치를 취하였고, 민·관 합동 사이버 대응기구인 국가사이버 위기관리단을 중심으로 백신업체와 설치된 백신을 통한 구버전 자동 삭제 등 보안 대책을 지원 [KISA report, page 80]
금융보안인증 프로그램(이니세이프) 취약점 악용 해킹 [기사: 국정원, 보안인증 프로그램 취약점 활용한 북 해킹 포착] · 2023-03-30
한국의 국가정보원이 금융보안인증 프로그램의 취약점을 악용한 북한의 해킹을 포착하고 이에 대한 대응 조치를 진행하고 있다고 밝혔습니다.
금융보안인증 소프트웨어 취약점 악용·언론사 사이트 워터링홀 해킹 (61개 기관 감염) · 2023-04-18
가 금융보안인증 소프트웨어 취약점을 악용해 지난 6월 경부터 언론사 사이트 등을 해킹한 정황이 드러났다. [이미지=utoimage] 이번 사건은 북한이 국내 인터넷뱅킹 등을 이용할 수 있는 금융보안인증 프로그램의 취약점을 악용하고, 국민 대다수가 접속하는 언론사 사이트를 악성코드 유포 매개체로 활용해 대규모 피해가 발생할 수 있었던 해킹사건이다. 경찰청 국가수사본부(안보수사국)는 지난해 11월부터 수사한 결과, 국내 언론사 8곳을 포함한 61개 기관이 감염된 사실을 확인했고 국정원·한국인터넷진흥원(KISA) 등 관계기관 합동 분석을 통해 △공격 인프라 구축 방법 △워터링홀 및 소프트웨어 취약점을 악용한 공격 방식 △악성코드 유사성 등을 토대로 북한 해킹 그룹 ‘라자루스’의 정체를 밝혀냈다. ‘라자루스’는 2014년 미국 소니픽처스 해킹사건, 2016년 방글라데시 중앙은행 해킹사건,2017년 워너크라이 랜섬웨어 사건 등에 연루된 것으로 알려진 北 해킹조직으로, 정부는 사이버 분야 대북 독자제재 대상으로 ‘라자루스’ 해킹조직을 지정하기도 했다. 다행히 사전에 빠른 조치를 통해 감염 피해 외에 자료 유출이나 금전 탈취와 같은 추가 피해 사실은 없는 것으로 파악됐다. 이와 관련해 지난 3월 30일 정부 관계기관은 국민들에게 관련 보안 취약점을 공개하고 신속한 금융보안인증 프로그램 업데이트를 당부하는 한편, 발견된 악성코드를 백신 프로그램에 반영하고 피해업체에 대한 보안조치를 완료하는 등 추가적인 피해를 방지한 바 있다. ▲이번
북한, 금융보안인증 소프트웨어 취약점 악용 해킹... 보안 업데이트 권고 · 2023-03-30
attribution sentence(s): [보안뉴스 김영명 기자] 북한이 인터넷뱅킹에 사용하는 금융보안인증 소프트웨어 보안 취약점을 악용해 PC 해킹 및 악성코드 유포 등 해킹 공격을 벌인 사실이 국가정보원·경찰청·한국인터넷진흥원 등 유관기관에 의해 적발됐다. | 국정원은 경찰청·한국인터넷진흥원(KISA)·국가보안기술연구소와 함께 지난해 말 북한이 국내 유명 금융보안인증서 업체(A사)의 소프트웨어 취약점을 악용해 국가·공공기관 및 방산·바이오업체 등 국내외 주요기관 60여곳의 PC 210여대를 해킹한 사실을 확인했다. | 국정원은 금융보안 소프트웨어를 악용한 북한의 조직적 해킹 시도가 최근 증가된 점에 주목해 관련 기관들과 함께 다음 달 5일 판교 사이버안보협력센터에서 ‘금융보안 SW 침해사고 방지 를 위한 유관기관 간담회’를 개최한다.
보안인증프로그램 취약점 악용 대규모 해킹사건, 북한 ‘라자루스’ 소행이었다 · 2023-04-18
attribution sentence(s): 북한 해킹 그룹 ‘라자루스’의 사이버공격 시도 선제적 차단 | [보안뉴스 이소미 기자] 북한 해킹 조직 ‘라자루스(Lazarus)’가 금융보안인증 소프트웨어 취약점을 악용해 지난 6월 경부터 언론사 사이트 등을 해킹한 정황이 드러났다. | 이번 사건은 북한이 국내 인터넷뱅킹 등을 이용할 수 있는 금융보안인증 프로그램의 취약점을 악용하고, 국민 대다수가 접속하는 언론사 사이트를 악성코드 유포 매개체로 활용해 대규모 피해가 발생할 수 있었던 해킹사건이다.
PC 1000만대 금융보안인증 뚫릴 뻔…北 해킹조직 수법 드러났다 · 2023-04-18
attribution sentence(s): 언론사 홈피를 숙주로…작년 韓 61개 기관 해킹한 범인은 北 '라자루스' | 민간·공공기관 60여곳이 해킹당한 사건은 해킹조직 '라자루스'의 소행인 것으로 드러났다. | 라자루스는 북한 정찰총국이 배후인 것으로 알려져 있다.
국정원 "北 국내외 60여곳 해킹해 악성코드 유포, 업데이트 권고" · 2023-03-30
attribution sentence(s): 북한이 인터넷 뱅킹에 사용하는 금융보안인증 소프트웨어의 보안 취약점을 악용해 PC를 해킹하고 악성코드를 유포해 온 사실이 국가정보원과 경찰청, 한국인터넷진흥원(KISA) 등 유관기관에 적발됐다. | 국정원에 따르면 지난해 말 북한이 국내 유명 보안인증서 업체 A사의 소프트웨어 취약점을 악용해 국가·공공기관 및 방산·바이오업체 등 국내외 주요기관 60여 곳의 PC 210여 대를 해킹한 사실이 확인됐다. | 한편 국정원은 금융보안 소프트웨어를 악용한 북한의 조직적인 해킹 시도가 증가함에 따라 오는 4월 5일 경기 성남 판교 사이버안보협력센터에서 '금융보안 소프트웨어 침해사고 방지를 위한 유관기관 간담회'를 개최한다.
금융보안인증 악용해 국내 PC 해킹…北 '라자루스' 소행이었다 · 2023-04-18
attribution sentence(s): 기관 60여 곳의 PC 210여 대를 해킹한 조직은 북한의 '라자루스'였던 것으로 밝혀졌다. | 경찰청 국가수사본부는 지난해 11월부터 금융보안인증 소프트웨어 취약점 악용 공격 사건을 수사한 결과, 이번 사건이 북한 정찰총국이 배후인 것으로 알려진 일명 '라자루스' 해킹 조직의 소행인 것으로 확인했다고 18일 밝혔다. | 라자루스는 2014년 미국 소니픽처스 해킹사건, 2016년 방글라데시 중앙은행 해킹사건, 2017년 워너크라이 랜섬웨어 사건 등에 연루된 것으로 알려진 북한 해킹조직이다.
Watering hole attack via financial security authentication software: 207 computers at 61 organizations · 18 April 2023 (announcement); April 2021 (authentication company hacked)
Para 114: “On 18 April, a Member State announced that the Lazarus Group had hacked 207 computers at 61 local organizations and agencies, including four biotechnology and three defence-related firms. The Lazarus Group targeted a vulnerability in a software essential for Internet banking and electronic financial services and used malicious codes distributed through compromised media websites. A “watering hole” attack was used in the process.” Annex 66 (NPA press release, 18 April 2023): “Investigations revealed that the DPRK [the Lazarus Group] hacked a local financial security authentication company in April 2021 to identify the software’s vulnerabilities ...”