멀웨어 KONNI 신규 캠페인 발견

시스코 인텔리전스 그룹 탈로스(Talos)는 지난 3년간 여러 캠페인을 통해 배포되어 왔던 ‘KONNI RAT(원격 접속 트로이 목마)’의 최근 활동이 발견됐다고 20일 밝혔다. 

지난 3년간 악성 문서 공격 기법으로 사용해 온 KONNI 캠페인은 사용자가 ‘.scr’ 파일의 문서를 열면 해당 컴퓨터에서 악성 코드가 실행되는 방식이다. 

2014년 9월 캠페인에서는 미얀마 사원의 이미지를 미끼로 가짜 실행 파일을 사용했다. 올해 4월 발견된 두 건의 공격은 KONNI 원격 액세스 트로이 목마를 삭제하려는 대상에게 피싱 문서를 사용해 칩입자가 손상된 시스템에 추가 악성 코드를 유포할 수 있었다. 이 밖에도 북한에 관련된 문서로 유인하는 활동이 있었으며, 이번 건 역시 북한 미사일 발사 및 미사일 기술 논의에 연관된 것처럼 가장했다.

KONNI 신규 캠페인은 ‘북한이 전략적 군사력을 자축하며 미사일 개발 역량을 선전’한다는 내용으로 피싱했다.

탈로스는 계속 진화하는 KONNI 멀웨어의 최신 버전으로 북한 미사일 개발 역량을 언급한 캠페인을 발견했다. 이번 캠페인에 사용된 악성코드는 2017년 초 배포된 것과 유사한 기능을 가지고 있다.

 

2017-07-20 14:40 서울 뉴스와이어 시스코시스템즈코리아

 IT 정보통신 기술: 통신, 모바일, 인터넷,컴퓨터 ,전자 etc 

7월 3일 한국 연합뉴스 기사를 복사/붙여넣기 해 정상적인 형태로 가장했다. 북한이 미사일 발사 실험을 실시한 7월 3일에 게재되었고, 다음날인 7월 4일 악성코드가 컴파일 되었다. 또한 이전에 북한을 자주 언급했던 KONNI 배포 캠페인과도 일관성을 보이고 있다. 사용자가 문서를 확인하면 다음과 같은 오피스(Office) 문서가 표시된다.

이 공격은 다음 도메인에 호스팅된 신규 CnC 인프라를 사용, 웹 페이지에 대한 HTTP 포스트 요청이 도메인 자체에서 /weget/download.php, /weget/uploadtm.php 또는 /weget/upload.php로 호스팅되면 KONNI의 CnC 트래픽이 발생한다. 공격자는 아래와 같이 합법적인 등산 동호회 웹사이트로 가장했다.

이 캠페인의 일부로 배포된 KONNI 악성코드는 올해 탈로스가 확인한 이전 버전과 유사하다. KONNI와 연계된 위협 행위자는 보통 북한과 관련된 악성 문서를 사용하며 이 캠페인 역시 예외는 아니었다.

시스코는 KONNI 멀웨어 업데이트 버전이 계속 발견되고 있어 주의가 요구되고, 특히 이러한 이슈와 관련이 높은 조직의 경우 유인성 악성문서를 통한 감염을 막기 위한 더욱 철저한 보호 조치가 이루어져야 한다며 이 같은 멀웨어를 탐지하고 차단하는 방법을 다음과 같이 제시했다.

-AMP(Advanced Malware Protection): 공격자가 이용하는 악성코드의 실행을 예방. 차세대 보호 기능을 활용하여 기존 및 최신 멀웨어 위협을 차단하며, 알려지지 않은 파일을 격리하고 분석하여 제공
-CWS 또는 WSA 웹 검사: 악성 웹사이트에 접근할 수 없도록 액세스를 차단하고 이러한 공격에 사용된 악성코드를 탐지
-Email Security: 위협 행위자가 캠페인의 일부로 전송하는 악성 이메일을 차단
-IPS 및 NGFW 의 네트워크 보안 보호 기능: 최신 시그니처를 사용해 위협 행위자가 벌이는 악의적 네트워크 활동을 탐지
-AMP Threat Grid: 모든 시스코 보안 제품에서 악성 이진을 식별하고 보호 기능을 구축할 수 있도록 지원
-시스코 SIG(보안 인터넷 게이트웨이)인 엄브렐라(Umbrella): 사용자가 기업 네트워크 내/외부 어디에 있든 악성 도메인, IP 및 URL로 연결되지 않도록 함

시스코 탈로스 개요

250명 이상의 보안 전문가, 데이터 과학자, 화이트 해커로 구성된 인텔리전스 그룹 탈로스(Talos)는 24시간 365일 운영되고 있다. 실시간으로 전 세계 설치된 네트워크 보안 장비들과 악성코드 커뮤니티, 수백만 명의 사용자로부터 확보한 데이터를 모아 하루 110만개 이상의 악성 소프트웨어 샘플을 수집한다. 이를 통해 탈로스는 하루 200억개의 공격, 1년에 7경 2천조개의 공격을 막아내고 있다. 구글은 하루에 35억개 서치(search)가 발생하는데 이 서치 규모의 6배에 달하는 규모다.

시스코 개요

시스코는 세계적인 기술 선도기업으로 1984년 이래 인터넷으로 연결하는 무한한 기회와 가치를 실현하는 데 역량을 집중해 왔다. 시스코 임직원들과 제품, 파트너들은 사회가 보다 안전하게 연결됨으로써 궁극적으로 디지털 기회를 통해 보다 나은 미래를 창출할 수 있도록 지원을 아끼지 않고 있다. 시스코와 시스코 코리아에 대한 최신 뉴스는 본사 뉴스룸과 시스코 뉴스 사이트 네트워크에서 각각 확인할 수 있다. 시스코, 시스코 시스템즈, 시스코 코리아 및 시스코의 로고는 미국 및 다른 국가에서 Cisco Systems, Inc. 또는 그 계열사의 등록상표이다. 기타 이 문서에 언급된 다른 상표명, 제품명 또는 상표는 각 소유권자의 재산이다. 파트너라는 용어의 표현이 반드시 시스코와 기타 업체 간의 파트너쉽을 의미하지는 않는다. 이 문서는 시스코의 공식 보도자료이다.