골드백도어 악성코드

Backdoors, Advanced Persistent Threat (APT)년에 Mezo 년까지

번역 :

북한 정부와 관련이 있는 것으로 여겨지는 APT(Advanced Persistent Threat) 그룹이 Goldbackdoor 악성코드라는 새로운 정교한 백도어 위협으로 언론인을 표적으로 삼았습니다. 특정 해커 그룹은 APT37 , InkySquid, Reaper, ScarCruft 및 Ricochet Collima와 같은 여러 이름으로 사이버 보안 조직에서 추적합니다.

위협적인 작전은 2022년 3월 어느 시점에서 표적으로부터 민감한 정보를 수집하는 것을 주요 목표로 시작한 것으로 여겨집니다. 지금까지 인포섹 연구원들은 데이터가 한국 전 정보원의 개인 컴퓨터에서 가져온 것임을 확인했다. 이 작업은 해커가 합법적인 NK 뉴스 기관으로 가장하는 스피어 피싱 시도로 시작됩니다.

Goldbackdoor 악성 코드에 대한 세부 정보

연구원들이 수행한 위협 분석에 따르면 Goldbackdoor는 위협 기능이 확장된 다단계 멀웨어입니다. 코드와 동작 내에서 상당한 유사성과 중복으로 인해 전문가들은 새로운 위협이 과거 APT37이 사용했던 유해한 도구 중 하나인 Bluelight 악성코드의 후계자일 가능성이 높다고 말합니다.

해커는 위협 작업을 첫 번째 도구 단계와 최종 페이로드가 전달되는 두 번째 도구 단계로 분할했습니다. 이 설계를 통해 공격자는 대상 장치의 초기 감염에 성공한 후 작업을 중지할 수 있습니다. 또한 페이로드가 인프라에서 제거된 후 위협에 대한 잠재적인 소급 분석을 훨씬 더 어렵게 만듭니다.

활성화되면 Goldbackdoor는 원격 명령을 실행하고, 데이터를 추출하고, 파일을 수집하거나, 침해된 시스템에 추가 파일을 다운로드하고, 키로깅 루틴을 설정하는 등의 기능을 위협 행위자에게 제공합니다. 또한 해커는 위협 요소가 손상된 시스템에서 원격으로 제거하도록 지시할 수 있습니다. 해커로부터 들어오는 명령을 수신하기 위해 Goldbackdoor는 클라우드 서비스 공급자를 활용하고 API 키 세트를 갖추고 있어 Microsoft의 Azure 클라우드 컴퓨팅 플랫폼에 대해 인증할 수 있습니다.