북한 해킹 집단인 라자루스 그룹은 사기 취업 사기에 라이트리스캔이라는 새로운 멀웨어 변종을 도입했습니다.

이전의 라자루스 멀웨어 사례와 달리 이 새로운 멀웨어는 탐지에 상당한 어려움을 초래합니다.

최초 감지

ESET의 수석 멀웨어 연구원 피터 칼나이(Peter Kálnai)는 다음과 같은 연구 결과를 공개했습니다.9월 29일의 게시물에서 스페인 항공우주 회사에 대한 가짜 일자리 공격을 분석한 결과입니다.

라자루스 그룹의 전형적인 접근 방식은 평판이 좋은 회사에서 일자리를 제공한다는 유혹적인 제안으로 피해자를 유인하여 문서로 위장한 악성 페이로드를 다운로드하도록 속이는 것입니다.

이 사례의 피해자는 LinkedIn 전문 소셜 네트워킹 플랫폼의 기능인 LinkedIn 메시징을 통해 연락을 받았습니다.

채용 과정의 일환으로 두 가지 코딩 과제를 받았고, 피해자는 회사 기기에서 이를 다운로드하여 실행했습니다. 한 과제는 'Hello, World!"라는 텍스트를 표시하는 기본 프로젝트였고, 다른 과제는 피보나치 수열을 출력하는 과제였습니다.

ESET Research는 영향을 받은 항공 우주 회사와 협력하여 초기 액세스 단계를 재구성하고 라자루스 그룹의 툴셋을 분석했습니다.

라이트리스캔

ESET 팀에서 'LightlessCan'이라고 명명한 이 멀웨어는 이전 버전인 BlindingCan보다 눈에 띄게 개선되었습니다.

칼나이는 라이트리스캔이 다양한 기본 Windows 명령을 모방할 수 있어 원격 액세스 트로이목마(RAT) 자체 내에서 은밀하게 실행할 수 있어 시끄러운 콘솔 활동을 줄일 수 있다고 설명했습니다.

또한 새로운 멀웨어는 의도된 피해자의 컴퓨터에서만 페이로드를 해독할 수 있도록 '실행 가드레일'을 통합합니다.

이 모든 기능은 보안 연구자가 의도하지 않은 암호 해독을 방지하는 데 도움이 됩니다.

이렇게 은밀성이 강화되면 EDR 및 사후 디지털 포렌식 도구와 같은 실시간 모니터링 솔루션에 문제가 발생합니다.

라자루스 그룹

라자루스 그룹은 히든 코브라라고도 알려진 북한 사이버 스파이 그룹으로, 최소 2009년부터 활동한 역사가 있습니다.

9월 14일 블록체인 포렌식 업체 체인널리시스에 따르면, 북한 해커들이 2016년 이후 암호화폐 프로젝트에서 약 35억 달러를 훔친 것으로 알려졌습니다.

앞서 코인라이브는 라자루스 그룹이 암호화폐 거래소 코인엑스에 5,500만 달러 규모의 급습을 감행한 사실을 보도한 바 있습니다.

유엔은 북한의 위협을 인식하고 국제적인 차원에서 북한의 사이버 범죄 전술을 억제하기 위해 적극적으로 노력해 왔습니다.

유엔은 도난당한 자금이 다음과 같이 사용되고 있다고 믿습니다.북한의 핵 미사일 프로그램을 지원하는 데 사용되었습니다. .