ESTsecurity 알약 블로그 (blog.alyac.co.kr)
오퍼레이션 이블플레인(Operation EvilPlane) : 국내 이용자의 개인정보가 담긴 파일을 이용한 APT 공격 · 2022-12-07
summary: 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 국내 이용자의 개인정보가 담긴 파일을 이용한 APT 공격이 발견되어 사용자들의 각별하나 주의가 필요합니다. 이번에 발견된 공격 파일은 문서(docx) 파일로, 최근 공격자들이 자주 사용하는 원격 템플릿 주입(Remote Template Injection) 기술을 사용하였습니다. 해당 문서 파일은 ‘Paypal’ 이름의 계정에서 22년 12월 6일 19시 26분경 수정된 것으로 확인되며, Remote Template Injection 기술을 사용해 ‘k22012.c1[.]biz/paypal.dotm’에서 악성 매크로가 포함된 dotm 확장자의 템플릿 파일을 다운로드 및 실행합니다. 사용자가 [콘텐츠 사용] 버튼을 눌러 매크로 기능을 활성화 .. | attribution sentence: [그림 9] 페이로드 코드 일부 [그림 10] 페이로드 내 문자열 복호화 결과 화면 ESRC는 여러 지표들을 분석한 결과 이번 공격 배후에는 북한 정찰총국이 배후에 있는 코니(Konni) 조직의 소행으로 결론지었습니다.