Excerpt
14 min read
Jul 13, 2021
Author: @ Talon
Executive Summary
2020년 12월, 특정 웹사이트가 워터링홀 공격에 악용된 사례가 발견되었으며, 업무 특성상 해당 사
이트에 주기적으로 방문하는 사용자들을 포함하여 취약한 버전의 IE 브라우저로 해당 웹사이트에
방문한 사용자는 공격 대상이 되었음
워터링홀 공격으로 다운로드 및 실행되는 악성코드 유형으로 Ruby 실행 파일 및 Ruby 스크립트, PE
파일이 포함된 Multi-Staging Shellcode (KEY : 0x78AEEA97)가 확인되었음
최종 실행되는 악성코드는 과거 ROKRAT으로 알려진 악성코드의 발전된 버전
- 공격 대상의 정보 탈취 및 탈취한 정보를 클라우드 서비스로 전송
공격 방식 및 대상, 악성코드 등을 포함한 TTP 분석 결과, Scarcruft 위협 그룹과 관련된 공격으로 판 단
- Scarcruft(a.k.a APT37, Group123)는 북한 배후로 알려진 위협그룹으로 2012년부터 현재까지 지속 적인 공격 활동이 포착되고 있음
Overview
Press enter or click to view image in full size…
The opening of the report, shown for reference. The full report, with its figures and indicators, is published by Medium on medium.com.
Mentioned in the excerpt
More from Medium19
- Taiwan High-Tech Ecosystem Targeted by Foreign APT Group:Medium · Published 10 Jun 2022
- Lx(Base) RAT: A Technical Deep DiveMedium · Published 3 Aug
- Reverse Engineering the Auto-Color Linux BackdoorMedium · Published 30 Aug
- 1337_GTWK Linux Malware AnalysisMedium · Published 30 Jul
On the same topics
- Retrohunting APT37: North Korean APT used VBA self decode technique to inject RokRatMalwarebytes · Published 5 Jan 2021
- Kazuar (Malware Family)Malpedia · Added 18 Oct
- Chinese Nation-State Hackers Target U.S in Operation TradeSecret, Report Claimseweek.com · Published 6 Apr 2017
- Animal Farm APT and the Shadow of French IntelligenceInfosec Institute · Published 8 Jul 2015
