북한의 BlueNoroff APT, '무식한' MacOS 악성코드 공개

플라톤에 의해 재발행

팔로워 : 0

북한 국가 해커들이 미국과 일본의 사용자를 표적으로 삼는 새로운 Mac 악성 코드를 공개했습니다. 연구원들은 이 악성 코드가 "멍청하지만" 효과적이라고 평가합니다.

북한의 악명 높은 라자루스 그룹(Lazarus Group)의 계열사인 블루노로프(BlueNoroff)는 다음과 같은 활동을 하는 것으로 알려져 있습니다. 김정일 정권을 위한 자금 모금 금융 기관(은행, 벤처 캐피탈 회사, 암호화폐 거래소 및 스타트업 — 그리고 그것을 사용하는 개인.

올해 초부터 Jamf Threat Labs의 연구원들은 MacOS 시스템을 표적으로 삼아 "RustBucket"이라고 부르는 BlueNoroff 캠페인을 추적해 왔습니다. ~ 안에 화요일에 게시된 블로그, 그들은 암호화 교환을 모방한 새로운 악성 도메인과 이 그룹이 새로운 목표를 손상시키는 데 사용하는 "ObjCShellz"라는 기초적인 리버스 셸을 공개했습니다.

Jamf Threat Labs의 이사인 Jaron Bradley는 "지난 몇 달 동안 우리뿐만 아니라 여러 보안 회사에서 이 그룹의 많은 행동을 목격했습니다."라고 말합니다. "그들이 이 멍청한 악성 코드를 사용하여 목표를 달성할 수 있다는 사실은 확실히 주목할 만합니다."

MacOS를 노리는 북한 해커들

ObjCShellz의 첫 번째 위험 신호는 연결된 도메인인 swissborg[.]blog였으며 주소는 합법적인 암호화폐 거래소인 SwissBorg가 운영하는 사이트인 swissborg.com/blog와 이상할 정도로 유사했습니다.

이는 BlueNoroff의 최신 사회 공학 전술과 일치했습니다. ~ 안에 진행 중인 RustBucket 캠페인, 위협 행위자는 모집자나 투자자로 가장하여 제안이나 파트너십 가능성을 제시하면서 목표물에 접근해 왔습니다. 계략을 유지하려면 일반적인 네트워크 활동과 조화를 이루기 위해 합법적인 금융 웹사이트를 모방한 명령 및 제어(C2) 도메인을 등록해야 하는 경우가 많다고 연구원들은 설명했습니다.

아래 예는 Jamf 팀이 합법적인 벤처 캐피털 펀드의 웹사이트에서 캡처한 것이며 BlueNoroff가 피싱 공격에 사용했습니다.

BlueNoroff가 피싱에 사용하는 합법적인 투자 페이지의 스크린샷 — 출처: 잼프

초기 액세스 후에는 MacOS 기반 악성 코드 - 증가하는 추세 BlueNoroff의 최근 전문 분야입니다.

Bradley는 “그들은 이러한 암호화폐를 보유하고 있는 개발자와 개인을 표적으로 삼고 있습니다.”라고 Bradley는 설명하며 기회주의적인 방식으로 이 그룹은 하나의 운영 체제를 사용하는 사람들만을 표적으로 삼는 데 만족하지 않았습니다. “Windows 컴퓨터에서 피해자를 추적할 수 있지만 해당 사용자는 Mac을 사용하는 경우가 많습니다. 따라서 해당 플랫폼을 표적으로 삼지 않기로 선택하면 잠재적으로 도난당할 수 있는 엄청난 양의 암호화폐를 선택하지 않게 되는 것입니다.”

그러나 기술적인 관점에서 볼 때 ObjCShellz는 완전히 단순합니다. 즉, 공격자의 서버에서 명령을 실행할 수 있는 Apple 컴퓨터용 간단한 리버스 셸입니다. (연구원들은 이 도구가 다단계 공격의 후반 단계에 사용되는 것으로 의심하고 있습니다.)

이 바이너리는 9월 일본에서 한 번, 10월 중순 미국 기반 IP에서 세 번 업로드되었다고 Jamf 연구원들은 덧붙였습니다.

BlueNoroff가 암호화폐를 훔치는 데 성공한 것을 고려하여 Bradley는 Mac 사용자에게 Windows 사용자만큼 경계심을 가질 것을 촉구합니다.

“Mac이 본질적으로 안전하다는 사실에 대한 잘못된 이해가 많이 있으며, 거기에는 확실히 어느 정도 진실이 있습니다.”라고 그는 말합니다. “Mac은 안전한 운영 체제입니다. 그러나 사회 공학의 경우 누구든지 자신의 컴퓨터에서 악의적인 프로그램을 실행할 수 있습니다.”