ESTsecurity 알약 블로그 (blog.alyac.co.kr)
.hta 파일로 유포중인 KimJongRAT 주의! · 2025-11-28
summary: 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. KimJongRAT은 북한 배후로 추정되는 Kimsuky 그룹과 연관된 것으로 알려진 원격 액세스 트로이 목마(RAT) 로, 최근 .hta 파일을 통해 KimJongRAT이 유포되고 있는 것을 확인하였습니다. 이번에 발견된 파일은 국세 고지서.pdf(tax_notice).zip 파일명으로 유포되었으며, 피싱 메일을 통해 최초 유포된 것으로 추정되고 있습니다. 국세 고지서.pdf(tax_notice).zip 내에는 국세고지서.pdf 파일을 위장한 lnk 파일이 포함되어 있습니다. 사용자가 해당 lnk 파일을 실행하면, 내부에 Base64로 인코딩된 URL 값을 복호화한 뒤 mshta를 사용해 해당 링크에 접속하고, 이후 추가 페이로.. | attribution sentence: KimJongRAT은 북한 배후로 추정되는 Kimsuky 그룹과 연관된 것으로 알려진 원격 액세스 트로이 목마(RAT) 로, 최근 .hta 파일을 통해 KimJongRAT이 유포되고 있는 것을 확인하였습니다. | target sentence: [그림 4] 악성코드가 탈취하는 암호화폐 지갑 목록 국내에 특화된 정보들을 탈취하는것으로 보아, 국내 타깃으로 정밀하게 제작된 악성코드로 볼 수 있습니다.