ESTsecurity 알약 블로그 (blog.alyac.co.kr)
김수키(Kimsuky) 그룹, HWP, DOC, EXE 복합적 APT 공격 작전 · 2020-06-02
summary: 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 특정 정부와 연계된 것으로 알려진 김수키(Kimsuky) 조직의 새로운 '스모크 스크린(Smoke Screen)' APT 캠페인 공격이 등장했습니다. 이들 조직은 최근 마이크로소프트사의 doc 문서파일 형식으로 주로 공격을 수행했는데, 예전처럼 한컴사의 hwp 문서 형식과 exe 실행 파일까지 복합적으로 사용하고 있는 것이 확인 되었습니다. 공격자들은 스피어 피싱(Spear Phishing) 대상에 따라 공격형식을 다중으로 사용하는 위협전술을 수행하고 있습니다. 또한, 문서파일 형식이 아닌 보안 프로그램처럼 위장한 exe 실행파일을 그대로 사용하기도 합니다. 1. doc 문서 포맷을 이용한 공격 사례 분석 [그림 1] DOC 문서를 이용한 공격.. | attribution sentence: 특정 정부와 연계된 것으로 알려진 김수키(Kimsuky) 조직의 새로운 '스모크 스크린(Smoke Screen)' APT 캠페인 공격이 등장했습니다. | target sentence: [그림 6] OneDrive 이름으로 등록된 작업스케줄러 화면 명령제어(C2) 서버가 한국의 'boaz[.]kr' 도메인이며, doc 때와 hwp 때가 정확히 동일하며, 이 방식은 김수키 조직의 대표적인 위협 캠페인 중 하나인 '스모크 스크린(Smoke Screen)' 방식입니다.