Gomir Backdoor

스프링테일(Springtail)로도 알려진 Kimsuky 그룹은 북한 정찰총국(RGB)과 연계된 지능형 지속 위협(APT) 그룹입니다. 최근 관찰 결과에 따르면 이들은 한국 기업을 겨냥한 캠페인 내에 GoBear 백도어를 Linux에 적용한 버전을 배포한 것으로 나타났습니다.

Gomir라는 이름의 이 백도어는 GoBear의 구조와 밀접하게 유사하며 두 악성 코드 버전 간에 상당한 코드 중복이 특징입니다. 특히 Gomir에는 특정 운영 체제에 의존하는 GoBear의 기능이 전혀 없거나 Linux 환경 내에서 호환성을 위해 재구성되어 있지 않습니다.

Gomir 백도어의 전신이 위협적인 악성 코드를 전달하는 데 사용되었습니다.

2024년 2월 초, 연구원들은 Troll Stealer (TrollAgent라고도 함)라는 멀웨어를 배포하는 캠페인과 관련하여 GoBear의 출현을 문서화했습니다. 감염 후 악성 코드에 대한 추가 조사 결과 AppleSeed 및 AlphaSeed와 같은 기존 Kimsuky 악성 코드 계열과의 유사성이 밝혀졌습니다.

후속 분석 결과 해당 악성코드는 국내 건설 관련 협회와 연계된 웹사이트에서 입수한 트로이 목마 보안 프로그램을 통해 전파되는 것으로 드러났으나 구체적인 협회는 공개되지 않았다. 손상된 프로그램에는 nProtect Online Security, NX_PRNMAN, TrustPKI, UbiReport 및 WIZVERA VeraPort가 포함됩니다. 특히, WIZVERA VeraPort는 이전에 2020년 Lazarus Group이 수행한 공급망 공격의 표적이 되었습니다.

또한, Troll Stealer 악성코드는 Wizvera VeraPort용으로 설계된 불법 설치 프로그램을 통해 유포되고 있는 것으로 나타났습니다. 그러나 이러한 설치 패키지를 배포하는 데 사용된 구체적인 방법은 현재 알려지지 않았습니다.

Gomir 백도어는 Linux 시스템을 감염시키기 위해 특별히 설계되었습니다.

GoBear는 C++로 작성된 이전 Springtail 백도어인 BetaSeed와 함수 이름이 유사하여 두 위협 간의 잠재적인 공통 출처를 나타냅니다. 이 악성코드는 원격 서버에서 명령을 실행하는 기능을 갖추고 있으며, 한국 운송 기관과 관련된 애플리케이션의 위조 설치 프로그램으로 위장한 드로퍼를 통해 확산됩니다.

Linux 변종인 Gomir는 공격자가 파일 작업을 수행하고, 역방향 프록시를 시작하고, 명령 및 제어(C2) 통신을 일시적으로 중단하고, 셸 명령을 실행하고, 자체 프로세스를 종료할 수 있는 17개의 명령 세트를 자랑합니다.

최근 Kimsuky 캠페인은 북한 간첩 행위자들이 선호하는 감염 벡터로서 소프트웨어 설치 패키지 및 업데이트로의 전환을 강조합니다. 표적 소프트웨어의 선택은 의도된 한국 표적을 감염시킬 가능성을 높이기 위해 세심하게 맞춤화된 것으로 보입니다.

악성 코드 공격에 대한 효과적인 조치 구현

백도어 감염에 대한 효과적인 대응책에는 예방, 탐지, 대응을 목표로 하는 다층적인 접근 방식이 포함됩니다. 다음은 몇 가지 모범 사례입니다.

• 최신 보안 소프트웨어 : 백도어 및 기타 위협을 탐지하고 제거하려면 맬웨어 방지 프로그램을 포함한 모든 보안 소프트웨어를 정기적으로 업데이트하세요.
• 정기적인 소프트웨어 업데이트 : 운영 체제, 애플리케이션 및 펌웨어에는 백도어가 자주 악용하는 알려진 취약점을 완화하기 위한 최신 보안 패치가 있어야 합니다.
• 네트워크 분할 : 중요한 시스템을 격리하고 백도어가 있는 경우 감염 확산을 제한하기 위해 네트워크 분할을 설정합니다.
• 강력한 액세스 제어 및 인증 : 강력한 비밀번호를 적용하고, 다단계 인증(MFA)을 구현하고, 액세스 권한을 제한하여 시스템에 대한 무단 액세스 기회를 줄입니다.
• 직원 교육 : 피싱 이메일과 같은 백도어를 배포하는 데 사용되는 사회 공학 전술에 대해 직원을 교육하고 의심스러운 활동을 즉시 보고하도록 권장합니다.
• 애플리케이션 화이트리스트 : 애플리케이션 화이트리스트를 사용하여 승인된 프로그램의 실행을 허용하고 백도어를 포함한 무단 또는 악성 소프트웨어의 실행을 방지합니다.
• 행동 분석 : 예상치 못한 네트워크 연결이나 파일 수정 등 백도어 감염을 나타내는 비정상적인 활동에 대해 시스템 동작을 모니터링하는 도구를 사용합니다.
• 정기적인 보안 감사 : 백도어에 의해 악용될 수 있는 취약점을 인식하고 해결하기 위해 정기적인 보안 감사 및 침투 테스트를 수행합니다.
• 백업 및 복구 : 백도어 감염의 영향을 완화하고 데이터 손실 시 복구를 용이하게 하기 위해 독립적인 환경에 저장된 정기적인 데이터 백업을 구현합니다.

예방 조치와 강력한 탐지 및 대응 기능을 결합한 사전 예방적 접근 방식을 채택함으로써 조직은 백도어 감염에 대한 복원력을 강화하고 관련 위험을 효과적으로 완화할 수 있습니다.