- 북한 Konni 해커들이 이제 AI 생성 악성코드를 사용하여 블록체인 개발자와 엔지니어들을 표적으로 삼고 있습니다.
- 연구진은 이 맬웨어 변종이 해당 그룹이 과거에 사용한 변종과 연결되어 있다고 주장했습니다.
- CheckPoint 연구진은 이 맬웨어의 세부 사항을 공개하며 사용자에게 자기 보호 조치를 취할 것을 촉구합니다.
북한 해킹 그룹 Konni가 이제 인공지능(AI) 생성 악성코드를 사용하여 블록체인 엔지니어들을 표적으로 삼고 있습니다. 보고서에 따르면, 이 해킹 그룹은 이제 AI 생성 PowerShell 악성코드를 배포하여 블록체인 산업의 개발자와 엔지니어들을 표적으로 삼고 있습니다.
북한 해킹 그룹은 최소 2014년부터 운영되어 왔으며 APT37 및 Kimusky 활동 클러스터와 관련이 있는 것으로 추정됩니다. 그룹은 한국, 우크라이나, 러시아 및 기타 여러 유럽 국가에 걸쳐 있는 조직을 표적으로 삼았습니다. CheckPoint 연구원이 분석한 위협 샘플에 따르면, 북한 그룹의 최신 캠페인은 아시아 태평양 지역을 표적으로 삼고 있습니다.
북한 Konni 그룹, AI 생성 악성코드 배포
보고서에서 연구진은 악성코드가 일본, 인도, 호주에서 발견된 사용자들에 의해 제출되었다고 주장했습니다. 공격은 피해자가 ZIP 아카이브(PDF 미끼 파일과 악성 LNK 단축 파일 포함)를 전달하는 Discord 링크를 받는 것으로 시작됩니다. LNK 파일은 내장된 PowerShell 로더를 실행하여 DOCX 문서와 CAB 아카이브를 추출하며, 이 아카이브에는 PowerShell 백도어, 두 개의 배치 파일 및 UAC 우회 실행 파일이 포함되어 있습니다.
단축 파일이 실행되면 DOCX가 열리고 캐비닛 파일에 포함된 배치 파일을 실행합니다. 미끼 DOCX 문서는 해커가 인프라, API 자격 증명, 지갑 접근 권한 및 최종적으로 디지털 자산 보유량 등 민감한 자산에 대한 접근 권한을 얻을 수 있는 개발 환경을 침해하려 함을 보여줍니다. 첫 번째 배치 파일은 백도어 및 두 번째 배치 파일을 위한 스테이징 디렉토리를 생성합니다.
또한, 이는 OneDrive의 시작 작업과 유사하게 매시간 예약된 작업을 생성합니다. 이 작업은 디스크에서 XOR 암호화된 PowerShell 스크립트를 읽고 메모리에서 실행하기 위해 이를 복호화합니다. 모든 단계를 완료한 후, 자신을 삭제하여 감염의 흔적을 모두 지웁니다. PowerShell 백도어는 산술 기반 문자열 인코딩, 런타임 문자열 재구성 및 “Invoked-Expression”을 사용한 최종 로직 실행을 통해 자신의 기원을 철저히 숨깁니다.
연구진에 따르면, PowerShell 악성코드는 전통적으로 작성된 악성코드가 아닌 AI 지원 개발의 존재를 나타냅니다. 이를 보여주는 증거로는 스크립트 상단에 있는 명확하고 구조화된 문서화가 있는데, 이는 악성코드 개발에서 매우 드문 현상입니다. 또한 깔끔하고 모듈화된 레이아웃과 파일 내 “# <– your permanent project UUID” 주석의 존재도 그 예입니다. CheckPoint는 이러한 표현이 북한 해커들의 LLM(대규모 언어 모델) 생성 코드임을 시사한다고 지적했습니다.
CheckPoint 연구진, 악성코드 세부 사항 공개
연구진은 이러한 표현이 모델이 인간 사용자에게 플레이스홀더 값을 사용자 지정하는 방법을 지시한다는 것도 보여준다고 설명했습니다. 그들은 이러한 주석이 AI 생성 스크립트 및 튜토리얼에서 흔히 볼 수 있다고 말했습니다. 실행 전에 악성코드는 분석 환경에서 실행 중이지 않은지 확인하기 위해 하드웨어, 소프트웨어 및 사용자 활동 검사를 수행합니다. 그런 다음 고유한 호스트 ID를 생성한 후 지정된 작업 경로를 따릅니다.
백도어가 감염된 장치에서 완전히 활성화되어 실행되면, 악성코드는 호스트 메타데이터를 보내기 위해 명령 및 제어(C2) 서버에 주기적으로 연결하고 무작위 간격으로 서버를 폴링합니다. C2에 PowerShell 코드가 포함된 경우, 이는 스크립트 블록으로 전환되어 백그라운드 작업을 사용하여 활동을 수행합니다. CheckPoint는 이전 로더 형식과 미끼 이름을 기반으로 이러한 공격이 북한 Konni 위협 행위자에게서 비롯된 것이라고 지적했습니다.
또한 연구진은 동일한 스크립트 이름 중복 외에도 이전 공격과 실행 체인 구조에서 공통적인 요소들이 있다고 주장했습니다. 연구진은 최근 캠페인과 관련된 침해 지표(Indicators of Compromise)를 게시하여 방어자들이 북한 Konni 캠페인의 공격을 받았을 때 이를 인식하고 자산을 보호할 수 있도록 도왔습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
오와투운세 아데바요
아데바요(Adebayo)는 암호화폐 분야에서 4년간의 경력을 가진 작가입니다. 그는 라고스 대학교에서 도시 및 지역 계획을 전공하고 졸업했으며, 토큰헬(Tokenhell)과 크립토티커(CryptoTicker)에서 암호화폐 및 핀테크 뉴스를 작성했습니다. 현재 그는 크립토폴리탄(Cryptopolitan)의 뉴스 기여자입니다.
