파라오 슬롯사항

주로 피싱/스팸 메일이나 크랙 프로그램을 통해 유포되었던 파라오 슬롯이 매크로가 포함된 워드 파일을 통해 유포된 정황이 포착되어 사용자들의 각별한 주의가 필요합니다.

파라오 슬롯은공격자로하여금원격접근이가능하도록허용하는악성코드로,사용자계정및사용자환경정보수집이가능하며,원격코드실행및파일업/다운로드등추가악성행위가가능합니다.

이번에 수집된 샘플은 "협의 이혼 의사 확인 신청서" 워드파일을 파라오 슬롯하고 있으며, 악성 매크로가 포함되어 있습니다.

사용자가 파일을 실행하면 [콘텐츠 사용] 버튼 클릭을 유도하며, [콘텐츠 사용] 버튼을 누르면 협의이혼의사확인신청서 양식을 보여주며 정상파일인것 처럼 파라오 슬롯합니다. 하지만 백그라운드에서는 AutoOpen() 함수에 의해 사용되 워드 파일에 포함된 매크로가 자동 실행됩니다

여기에서 주목할만한 점은 일반적인 워드파라오 슬롯과는 다르게,파라오 슬롯 형식은 .doc 파라오 슬롯이지만 .hwp 파라오 슬롯 형식로 보여진다는 점입니다.이는공격자들이 법원 전자민원센터에서 제공되는 한글 파라오 슬롯(.hwp)을 워드 파라오 슬롯(.doc)로 저장하여 이번 공격 디코이 파라오 슬롯로 사용했음을 추측할 수 있습니다.

매크로가 실행되면 공격자가 미리 설정해 놓은 c2에 접속하여 악성 파라오 슬롯을 version.ini 파라오 슬롯명으로 저장하고 실행합니다. version.ini 파라오 슬롯이 실행되면 version.ini, runps.vbs, conf.ps1 파라오 슬롯을 생성하고 실행합니다.

version.ini 파일은 실행 후 작업 스케쥴러 등록을 통하여 사용자 PC에서의 연속성을 확보하며, runps.vbs는 실행 후 conf.ps1를 실행하며, 실행된 conf.ps1 파일은 공격자가 지정해 놓은 c2에 접속하여 추가 파일을 내려받습니다. 이후 몇 차례 c2 접속 및 파일 다운로드를 반복 후 최종적으로 최종적으로 파라오 슬롯을 실행합니다.

ESRC는 여러 지표들을 분석한 결과, 이번 공격은 북한이 배후에 있는 APT 파라오 슬롯의 '스모크 스크린(Smoke Screen') 공격 활동의 연장선으로 결론지었습니다.

북한정찰총국의 지원을 받는 해커 파라오 슬롯의 국내 공격이 거세지고 있습니다.

사용자 여러분들께서는 의심스러운 파라오 슬롯들의 실행을 지양해 주시기 바라며, 알약과 같은 백신 설치를 통하여 안전한 PC 환경을 만드시기 바랍니다.

현재 알약에서는 해당 악성코드에 대해Trojan.Downloader.DOC.Gen,Backdoor.MSIL.Quasar.gen,Trojan.PowerShell.Agent등으로 탐지중입니다.

IoC

E0CF0881DE0FE35732BB02C1F4DF02A3

3C687FB0A1921A53F9C607938F25FDD1
8F411A46490016AC5D126B83CEE65022
D4BB07F5A9462612CD0E8A9290E27FC8

*c2는 현재도 접속이 가능하여 비공개