KISA analysis of malware used by Lazarus against South Korean companies in 2024

KISA cyber threat trend report, 2024 H2 (2024년 하반기 사이버 위협 동향 보고서)

한국인터넷진흥원 종합분석팀은 금융보안SW 취약점 등 워터링홀 공격기법으로 국내 주요 기업 내부에 침투하여 민감한 정보 등을 전문적으로 탈취하는 국가배후 해킹그룹인 라자루스가 2024년 이용한 악성코드에 대해 분석을 진행했다. 본 보고서는 라자루스 그룹의 공격전략과 기법, 절차보다는 공격에 사용된 주요 4가지 유형의 악성코드 동작 방식과 기능을 상세하게 분석해 보고, 기존 사용했던 악성코드와의 특징 비교 및 대응 방안을 알아보고자 한다. 악성코드 구분 악성코드 동작 방식 유형 1 MachineGuid 값을 검증하는 악성코드 유형 2 공격자가 수동으로 다운로드하는 악성코드 유형 3 레지스트리 및 특정 경로에 은닉된 악성코드 유형 4 ADS 영역을 악용하는 악성코드 번호 주요 특징 악성코드 구분 유형 1 유형 2 유형 3 유형 4 1 DLL 사이드 로딩 O X O O 2 실행 인자값 --StartAppModel EmbedPdf X X 3 문자 치환 알고리즘 동일한 문자 치환 알고리즘 사용 X X 4 MachineGuid 검증 O X X X 5 암호 알고리즘 AES-128, RC6 AES-128 RC4 AES-128 6 악성코드 모듈화 시스템 경로 내 파일 사용 악성코드 유포지 사용 레지스트리 및 특정 경로 내 파일 사용 ADS (Alternate Data Stream) 7 다계층 공격 인프라 동일한 다계층 공격 인프라 사용 8 통신 문자열 구조 KEY=VALUE 쌍을 전송하는 동일한 통신 문자열 사용 확인 불가 KEY=Base64(VALUE)쌍 표 5 - 1 2024년 라자루스 악성코드 주요 특징 [KISA report, page 46]