반도체 전문 온라인 매거진 - 올포칩

카스퍼스키(www.kaspersky.co.kr 지사장 이효은)는 오늘, 자사의 카스퍼스키 GReAT(글로벌 연구 분석팀) 전문가들은 동남아시아의 정부 및 외교 기관에서 민감한 정치 및 전략 정보를 탈취하는 것으로 알려진 ‘허니마이트(HoneyMyte)’ APT가 쿨클라이언트 백도어(CoolClient backdoor)에 새로운 기능을 추가하고, 브라우저 로그인 데이터 탈취기의 여러 변종을 배포했으며, 데이터 탈취 및 정찰을 위한 다수의 스크립트를 사용한 사실을 발견했다. 이번 APT의 최신 캠페인은 미얀마, 몽골, 말레이시아, 태국, 러시아를 대상으로 했으며, 특히 정부 부문에 초점을 맞췄다. 

카스퍼스키 전문가들이 여러 HoneyMyte 캠페인 전반에서 관찰한 쿨크라이언트 백도어의 최신 버전은 PlugX 및 LuminousMoth와 함께 보조 백도어로 자주 배포된다. 이 백도어는 주로 DLL 사이드로딩(DLL side-loading, 정상 프로그램 실행시 악성코드(DLL)를 함께 동작시킴)을 실행 메커니즘으로 사용하며, 이는 합법적으로 디지털 서명된 실행 파일이 악성 DLL을 로드하도록 요구한다. 2021년부터 2025년까지 위협 행위자는 다수의 합법 소프트웨어 제품에 포함된 서명된 바이너리를 악용해 왔으며, 가장 최근 캠페인에서는 Sangfor의 서명된 애플리케이션을 활용했다. 

최신 개선 사항에는 클립보드 모니터링과 활성창 추적이 추가되었으며, 이 기능은 클립보드 콘텐츠와 함께 활성 애플리케이션의 창 제목, 프로세스 ID, 타임스탬프를 캡처할 수 있게 한다. 이를 통해 위협 행위자는 사용자의 활동과 복사된 데이터의 맥락을 추적할 수 있다. 

CoolClient는 또한 네트워크 트래픽에서 HTTP 프록시 자격 증명을 추출하는 기능으로 강화되었으며, 이는 HoneyMyte 악성코드 전반에서 새롭게 관찰된 기법이다. 연구진은 여러 개의 CoolClient 플러그인이 실제로 사용되고 있음을 확인했으며, 이는 해당 도구가 커스텀 플러그인을 통해 확장 가능한 기능을 지원함을 의미한다. 여러 스파이 활동 캠페인에서 HoneyMyte는 시스템 정보 수집, 문서 유출, 브라우저에 저장된 자격 증명 수확을 위해 스크립트를 사용했다. 위협 행위자는 또한 침해 이후 단계에서 새로운 버전의 크롬 자격 증명 탈취 악성코드를 사용했으며, 이는 ToneShell 캠페인 샘플과 상당한 코드 유사성을 보였다. 

카스퍼스키 파리드 라지 GReAT 보안 연구원은 “키로깅, 클립보드 모니터링, 프록시 자격 증명 탈취, 문서 유출, 브라우저 자격 증명 수확, 대규모 파일 탈취와 같은 기능을 갖춘 현재의 공격 환경에서, 능동적 감시는 이제 APT 플레이북의 표준 전술이 되었다. 이는 데이터 유출이나 지속성과 같은 전통적인 위협과 동일한 수준의 대비와 선제적 방어를 요구한다”라고 말했다. 

카스퍼스키 이효은 한국지사장은 “한국에서는 HoneyMyte APT와 같은 그룹들이 공격 방식을 지속적으로 진화시키며 사이버 위협 환경이 점점 더 복잡해지고 있다. CoolClient 백도어는 다차원적인 데이터 탈취와 모니터링을 가능하게 하는 다양한 기능을 추가했다. 기업들은 이러한 APT에 대응하기 위해 Kaspersky Next 제품군, 관리형 보안 서비스, 위협 인텔리전스를 활용해 종합적이고 선제적인 방어 체계를 구축해야 한다”라고 말했다.