北 APT37 ‘오퍼레이션 캡슐 볼트’ 공격... “연구계 정보 유출 비상”

요약 : 지니언스 시큐리티 센터가 북한 해킹 조직 「APT37」 소행으로 추정되는 신종 캠페인 「오퍼레이션 캡슐 볼트(Operation Capsule Vault)」를 식별했다고 13일 밝혔으며, 이 공격은 외교·안보·통일 분야 국내 학술 종사자 정보 탈취를 목표로 6월 실제 개최된 학술행사 참석자 명단을 파악해 주최 측을 사칭한 스피어 피싱을 발송하고, 이메일 게이트웨이(SEG) 우회를 위해 상용 클라우드 스토리지 링크로 ISO 디스크 이미지를 배포하여 윈도우 자동 마운트 특성을 악용해 「웹 출처 마크(MoTW)」 검증을 무력화한 뒤, LNK 대신 도스 시절 PIF 포맷을 채택하고 정상 PDF 아이콘의 이중 확장자로 위장하여 실행되면 사용자에게 정상 세미나 문서를 보여주는 동안 백그라운드에서 「임베드 페이로드 v2」 아키텍처가 암호화 셸코드를 복호화해 「로크랫(RokRAT)」을 정상 프로세스 메모리에 직접 주입하는 파일리스 기법을 구사하며, 탈취한 정보는 텔레그램 API로 유출하고 드롭박스·피클라우드 등 상용 클라우드 API를 C2로 악용해 정상 HTTPS 트래픽에 섞어 IP 기반 차단을 회피하는 정교한 다단계 공격인 만큼, EDR 기반 메모리 내 이상 프로세스 실시간 감시·ISO 마운트 및 PIF 실행 원천 차단·론치데몬 등 무결성 검증·사용자 보안 인식 제고가 병행되어야 한다는 것이 기사의 주된 메시지입니다.

느낀점/소감 : 확실히 이런 글을 보면 배우는게 많은것같다. 특히 기술적인 부분도 어려운걸 이용한다기보단 진짜 사람의 심리를 이용하는게 주로 큰것같고 그외에도 우회기술들도 기존 쓰던거라든가 아니면 아에 우회방법을 찾아서 하는게 참 신기하다. 그리고 또 백신 우회를 할때 파일리스 형태로 검사하다보니 아에 실행중인 프로세스에 악성코드를 주입하는게 신기했고 그래서 대응방안으로는 이상행위 탐지가 가능한 EDR를 사용해야하는것도 알게되면서 EDR을 왜 써야하는지도 이해하게되는 글같아서 글을 읽으면서 배울게 많다.