ESTsecurity 알약 블로그 (blog.alyac.co.kr)
탈륨조직의 국내 암호화폐 지갑 펌웨어로 위장한 다차원 APT 공격 분석 · 2020-10-16
summary: 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 지난 08월 10일 구글 플레이 공식 마켓을 통해 안드로이드 기반 악성 암호화폐 지갑 앱(v1.0.4)이 일정기간 유포되었습니다. 이는 정상적인 소프트웨어 배포 절차에 위협요소를 추가 업데이트하는 일종의 공급망 공격 형태 입니다. 이 사건으로 인해 특정 암호화폐 이용자들의 코인이 무단 출금되는 피해가 다수 보고되었습니다. 한편 비슷한 시기 윈도우 운영체제 기반 지갑 설치 프로그램으로 사칭한 악성 파일 변종들도 발견되며, 관련 이슈에 대한 공지문이 다음과 같이 게시됩니다. 08월 31일부터 윈도우용 악성 파일도 유포되었고, 09월 24일에는 공격자가 직접 이메일로 악성 파일을 전파하는 등 공격은 일정 기간 지속되었습니다. 특히, 08월 31일 .. | attribution sentence: 패키지명 / 파일명 / 이메일 C2 서버 IP 주소 도메인 생성 호스팅 com.hyundaipay.hdac.apk kasse-v1.hdac-wallet[.]com 44.227.76.166 2020-08-09 porkbun.com kasse_setup.exe kasse.hdac-tech[.]com 44.227.76.166 2020-08-14 porkbun.com KASSE.exe update.hdac-tech[.]com 44.227.76.166 2020-08-14 porkbun.com HdacWallet.exe wallet.hdac-tech[.]com 44.227.76.166 2020-08-14 porkbun.com help@hdactech.info hdactech[.]info 44.227.65.245 44. | target sentence: 특히, 이번처럼 암호화폐 거래 관련 지갑 정보를 노린 공급망 공격이 구글 플레이 공식 마켓을 악용되는 등 갈수록 지능화, 고도화 되고 있는 추세입 니다.