포세이돈 작전: 구글 광고 리다이렉션 메커니즘을 악용한 스피어 피싱 공격 · 2026-01-18
meta description: Konni APT 그룹이 구글 광고 클릭 추적에 사용되는 도메인(ad.doubleclick[.]net)의 리다이렉션 URL 구조를 악용해 스피어 피싱 공격을 수행했습니다.
공격자는 실제 악성 파일이 호스팅된 외부 인프라로 사용자를 단계적으로 유도하는 방식을 사용했습니다. | attribution sentence: ◈ 주요 결과 (Key Findings) 광고 URL로 위장한 스피어 피싱 캠페인을 통해 보안 필터링 및 사용자 경계 우회 보안이 취약한 WordPress 웹사이트가 악성파일 유포 및 C2 인프라로 악용 'Poseidon'은 Konni APT가 내부적으로 명명·운영한 공격 작전 단위로 식별 PDF로 위장된 AutoIt 스크립트 실행을 통해 EndRAT 악성코드 로드 엔드포인트 행위 기반 탐지를 제공하는 EDR 대응이 필수적인 것으로 평가 1. | target sentence: 그 결과, 해당 위협 행위자는 한국 내 대북 인권단체와 금융기관을 사칭한 사회공학적 전술을 반복적으로 활용하며, 특정 대상을 겨냥한 고도의 표적화된 공격 활동을 지속적으로 전개하고 있는 것으로 식별되었습니다.
Operation Poseidon: Spear-Phishing Attacks Abusing Google Ads Redirection Mechanisms · 2026-01-18
meta description: Konni APT group conducted a spear phishing attack by exploiting the redirection URL structure of the domain used for Google ad click tracking. | attribution sentence: ◈ Key Findings A spear phishing campaign disguised as advertising URLs was used to bypass security filtering mechanisms and user awareness Poorly secured WordPress websites were abused as malware distribution points and C2 infrastructure “Poseidon” was identified as an internally named and operated attack operation unit attributed to the Konni APT The EndRAT malware was loaded through the executio | target sentence: As a result, the threat actor was identified as repeatedly employing social engineering tactics by impersonating North Korean human rights organizations and financial institutions in South Korea, while continuously conducting highly sophisticated and targeted attacks against specific targets.