북 해킹조직 APT37의 최신 공격 동향 살펴보기!

과거부터 다양한 APT 그룹이 사이버 생태계를 위협해왔다. 그중 ‘APT37’이라는 이름으로 활동 중인 북한 해커 그룹이 최근 '치노토(Chinotto)'라는 새로운 악성코드를 배포하는 것으로 알려지며 보안 업계를 떠들썩하게 했다.

 

이번 글에서는 안랩이 추적 및 분석한 내용을 바탕으로 APT37 공격 방식과 이들이 배포하고 있는 악성코드에 대해 소개한다.

 

 

 

APT37 공격 동향

APT37은 2012년부터 활동을 시작한 것으로 추정되며, 스카크러프트(ScarCruft), 리퍼(Reaper), 그룹123(Group123) 등 다양한 이름으로 불리고 있다. 이들은 지능적인 방법으로 꾸준히 해킹 대상을 위협하는 위협 그룹으로서 APT(Advanced Persistent Threat)로 분류된다. 쉽게 말하자면 일종의 사이버 스토킹과도 비슷하다.

 

그렇다면 이들은 최근 누구를 스토킹(타깃)하고 있을까? APT37은 그동안 주로 한국의 공공부문과 민간부문을 표적으로 삼아왔다. 이들의 한국을 포함해 일본, 베트남, 중동 등의 지역에서 화학, 전자, 제조, 한공우주, 자동차, 의료기관 등 다양한 산업군을 타깃하며 활동 범위를 확대해 나가고 있다. 

 

안랩이 추적 및 분석한 최근 APT37 공격에 따르면, 이들은 '간담회 의뢰서.doc' 제목의 파일을 이용해 기자, 북한 탈북민, 인권운동가 또는 북한 관련 종사자들을 대상으로 공격을 펼치는 것으로 드러났다. 

 

[그림 1]은 최근 공격에 사용된 ‘간담회 의뢰서.doc’ 파일을 보여주고 있다.

 

  

[그림 1] 간담회 의뢰서.doc 파일의 내용

 

[그림 1]에서 볼 수 있듯이 악성 문서 파일은 '콘텐츠 사용' 버튼을 이용해 사용자들이 매크로를 실행하도록 유도하고 있다. 해당 문서의 매크로를 실행하면 시스템에서 악성 행위가 발현된다. 

 

매크로의 행위는 크게 두 가지로 나눌 수 있다.

(1) 웹 통신을 통해 추가 파일 다운로드

(2) 레지스트리(registry) 생성

 

공격자는 웹 통신을 통한 파일 다운로드를 위해 [그림 2]와 같이 단축 URL을 사용한다.

 

 

[그림 2] '간담회 의뢰서.doc' 매크로에 의한 웹 통신 및 파일 다운로드 코드

 

단축 URL 접속 후 리다이렉트 되는 URL은 https://doc-0k-70-docs.googleusercontent.com…(중략)…e=download이다. 외부 접속한 URL을 통해 다운로드된 파일은 시스템 Temp 경로에 rokrat.exe이라는 이름으로 저장된다.

 

 

레지스트리 생성은 [그림 3]과 같이 코드에 의해 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Office\[Application.Version]\Word\Security\AccessVBOM에 등록된다.

 

  

[그림 3] 레지스트리 생성 내용

 

다운로드된 rokrat.exe 파일은 RAT(Remote Access Trojan) 악성코드의 일종이다. 안랩은 rokrat.exe이 단순 웹 통신 역할을 수행하는 것으로 확인했다. [그림 4]와 같이 api.box[.]com/2.0/folders/0/items URL과 통신하여 공격 대상의 데이터를 탈취한다.

 

 

[그림 4] rokrat.exe의 웹 통신

 

현재 V3는 아래와 같은 진단명으로 해당 악성코드를 사전에 탐지 및 차단하고 있다.

[파일 진단]

Downloader/MSOffice.Generic

Trojan/Win.Generic

 

[관련 IoC]

42cc3283b70db3120b8cd82cb2eb2a27

5bf716a1fd63ab121df06b4d3fb1d335

hxxps://doc-0k-70-docs.googleusercontent.com/…(중략)…e=download

api.box[.]com/2.0/folders/0/items

 

진화하는 APT37 공격: '치노토(Chinotto)' 스파이스웨어 사용하다

지난 29일에 블리핑 컴퓨터(Bleeping Computer)에 발표된 내용에 따르면 APT37은 치노토(Chinotto)라는 악성코드를 이용해 안티멀웨어 탐지를 우회하고 사용자 정보를 탈취한다. 치노토(Chinotto)는 일종의 스파이웨어 또는 백도어로 볼 수 있으며, 최근에서야 발견되었지만 최소 2019년부터 APT37이 공격에 사용한 것으로 드러났다. 치노토(Chinotto)는 공격자가 취약한 기기 제어, 사용자의 스크린샷 캡처, 추가적인 페이로드(payload) 배포, 민감한 데이터 탈취, 공격자의 서버에 탈취한 정보 업로드 등의 악위적인 행위를 할 수 있도록 돕는다. 

 

최근 발견된 공격에 따르면 공격자는 6개월가량 시스템에 은닉한 뒤 치노토(Chinotto) 악성코드를 다운로드했으며, 그 후 민감한 정보를 탈취한 것으로 드러났다. 또한 파워쉘(PowerShell) 버전과 안드로이드 애플리케이션 버전으로 제작되어 공격 대상의 모바일과 데스크톱을 동시에 노리는 것으로 알려졌다. 전문가들은 "APT37이 이중 인증을 피해가기 위해 PC와 모바일을 모두 공략하는 것"이라고 설명했다.

 

 

북한 관련 종사자들과 탈북자, 인권운동가를 위협하는 APT37 공격은 지속되고 있다. 이들은 민감한 데이터를 탈취하기 위해 공격 방식을 진화하고 있다. 지능적인 방법으로 빠르게 침투해 공격을 실행하는 것이 APT 공격의 주요 특징이었다면, 최근에는 오랜 기간 동안 시스템에서 은닉하며 인내심 강한 모습으로 공격을 펼치고 있는 추세다. 이에 따라 APT 공격으로 인한 피해는 더욱더 상당할 것으로 예측된다. 

 

더욱 다양해지고 지능화된 APT 공격에 효과적으로 대응하기 위해서는 최신 '위협 인텔리전스'를 제공받는 것은 매우 중요하다. 안랩은 빠르게 변화하는 보안 위협에 쉽게 빠르고 대응할 수 있도록 돕는 차세대 위협 인텔리전스 플랫폼 'AhnLab TIP' 구독 서비스를 제공하고 있다. 보다 자세한 내용은 AhnLab TIP 블로그에서 확인할 수 있다.