전체상품목록 바로가기

본문 바로가기

 
신규가입 3,000P 지급
현재 위치
  1. 게시판
  2. 뉴스/이벤트

뉴스/이벤트

 

게시판 상세
제목 [이스트소프트] 북 해킹조직, 대용량 악성LNK 파일을 이용한 공격 진행중!
작성자 (주)소프트정보서비스 (ip:)
  • 평점 0점  
  • 작성일 2023-05-25
  • 추천 추천하기
  • 조회수 137






지난 2월 북한의 지원을 받는 해킹조직의 공정거래위원회 사칭메일로 유포하는 대용량 LNK파일에 이어 최근 국내의 정치적, 사회적 이슈를 이용한 대용량 LNK파일 공격정황 등 LNK 파일을 악용한 대규모 공격 활동이 포착되어 사용자들의 주의가 필요합니다.

(▶ 참고 : 북 해킹 조직, 공정거래위원회 사칭 피싱 공격 진행중!)

 

공격자들은 한미정상회담의 워싱턴선언과 비정기 세무조사 등 사용자들이 관심을 가질만한 주제로 파일명을 설정하였으며, 파일내부에 의미없는 더미값을 포함시켜 용량을 증가시킨 대용량 LNK파일을 사용하였다는 특징이 있습니다.

 

'워싱턴선언, 북핵 위협 대응에 얼마나 도움이 될까.LNK' 파일의 경우 용량이 50MB로, 내부에 무의미한 0x2019값들이 포함되어 있습니다.

 

 


[그림 1] 악성LNK 파일 속성


 


[그림 2] LNK 파일 내부



사용자가 바로가기(LNK)를 클릭하면, PowerShell 스크립트가 실행되며 '워싱턴선언, 북핵 위협 대응에 얼마나 도움이 될까.hwp' 이름의 디코이 파일과 함께 백그라운드에서는 추가 ShellCode를 내려받는 기능을 수행하는  '230509.bat' 파일이 자동실행 됩니다. 

 


[그림 3] 실행되는 PowerShell 스크립트 화면


 

공격자는 HWP 디코이 파일 내용에 현재 실제로 운영 중인 온라인 저널리즘 매체의 블로그 포스팅을 그대로 사용하여 사용자들의 의구심을 낮추는 치밀함을 보였습니다.

 

 




[그림 4] HWP 디코이 파일(좌) 및 실제 미디어 칼럼(우)


 


[그림 5] 230509.bat



 '비정기 세무조사 통지서.hwp.lnk' 파일은 '22귀속_부가가치세_면세사업자_사업장_현황신고..rar' 압축파일 내 정상 HWP 2개와 함께 유포되었으며, 해당 LNK 파일 역시 0x90 더미값이 다수 포함된 약 1GB의 대용량 파일입니다.

 

 


[그림 6] RAR 파일


 


[그림 7] 악성LNK 파일 속성


 

사용자가 파일명에 속아 해당 LNK를 실행하는 경우, '비정기 세무조사 통지서.hwp' 디코이 파일과 함께 악성정보탈취 및 다운로드 스크립트가 실행됩니다.

 


[그림 8] LNK 파일에서 디코이 파일 및 페이로드 실행 코드


 


[그림 9] Decoy 한글문서 파일


 


[그림 10] 정보 수집 및 업로드 스크립트


 


[그림 11] 추가 페이로드 다운로드 스크립트


 

최근 대용량 LNK 파일을 이용한 북 해킹 조직의 공격이 증가하고 있으며, 흥미를 유발하는 파일명을 설정하여 사용자들의 클릭을 유도합니다. 

 

사용자 여러분들께서는 파일 실행 전 파일 확장자를 확인하고, 용량이 비정상적으로 큰 LNK파일은 악성파일의 가능성을 의심하고 주의를 해야할 필요가 있습니다.

 

현재 알약에서는 해당 악성파일들을 Trojan.Agent.LNK.Gen, Trojan.PowerShell.Agent 등으로 탐지하고 있습니다.


 알약 5.1 제품 보러가기




                                                 더 자세한 내용은 02-716-1915 로 문의 바랍니다

첨부파일
비밀번호 수정 및 삭제하려면 비밀번호를 입력하세요.
댓글 수정

비밀번호 :

/ byte

비밀번호 : 확인 취소


HOME  COMPANY  BOARD  AGREEMNET  PRIVACY  GUIDE

011-17-010436

농협 / (주)소프트정보서비스

015-01-0690-148

국민 / (주)소프트정보서비스

WORLD SHIPPING

PLEASE SELECT THE DESTINATION COUNTRY AND LANGUAGE :

GO
close