북한 해커, 한국 암호화폐 기업을 겨냥한 새로운 '두리안' 멀웨어 배포

북한 해커 그룹 킴수키가 한국 암호화폐 기업을 공격하는 데 '두리안(Durian)'이라는 새로운 변종 멀웨어를 사용하고 있는 것으로 알려졌습니다.

이 사건은 지난주 카스퍼스키가 발표한 위협 인텔리전스 보고서에 자세히 설명되어 있습니다. 이 멀웨어는 한국 암호화폐 회사에서 사용하는 보안 소프트웨어를 손상시키고 악용하기 위해 배포되었으며, 그 중 최소 두 곳이 발견되었습니다.

텔레메트리에 따르면 한국 암호화폐 업계에서 두 차례의 타협이 있었습니다. 첫 번째는 2023년 8월에 발생했고 두 번째는 2023년 11월에 발생했습니다. 흥미롭게도 이 캠페인에서 피해를 입은 다른 피해자는 확인되지 않았으며, 이는 공격자의 매우 표적화된 전형적인 특성입니다."라고 보고서는 말했습니다.

두리안은 '초기 단계' 설치 프로그램에 속하는 멀웨어입니다. 더 많은 멀웨어를 설치하고 감염된 디바이스 또는 인스턴스에 지속성 메커니즘을 생성합니다. 이 멀웨어가 실행되면 스테이지 로더를 생성하여 감염된 운영 체제에 설치하여 실행합니다.

멀웨어의 설치는 Google에서 개발한 오픈 소스 프로그래밍 언어인 Golang을 통해 작성된 페이로드를 통해 완료됩니다.

마지막 페이로드는 감염된 디바이스에 파일을 다운로드하고 유출하도록 명령하는 원격 명령 실행을 허용합니다. 사용된 언어도 의심을 불러일으키는데, 골랑은 네트워크에 연결된 컴퓨터와 방대한 코드 베이스에서 매우 강력하기 때문입니다.

이 보고서는 더욱 놀랍게도 두리안이 사용하던 도구 중 하나인 LazyLoad가 실제로는 악명 높은 북한 해킹 단체인 라자루스의 하위 그룹인 안다리엘이 사용하고 있었다는 사실을 밝혀냈습니다. 이는 당연히 킴수키와 라자루스가 어떤 형태로든 연계되어 있을 가능성을 열어두었고, 카스퍼스키랩은 그 가능성이 기껏해야 '미약하다'고 주장했습니다.

2009년에 처음 등장한 라자루스 그룹은 가장 악명 높은 암호화폐 해커 그룹 중 하나입니다. 독립적인 온체인 해커ZachXBT 는 최근 2020년부터 2023년까지 2억 달러가 넘는 부당하게 취득한 암호화폐를 세탁한 것으로 밝혀졌습니다. 라자루스는 2023년까지 6년 동안 총 30억 달러 이상의 암호화폐 자산을 사취한 혐의를 받고 있습니다.

미국 법원은 다음과 같은 몰수 명령을 내렸습니다.279개 암호화폐 계정 지난 주 북한의 위협 사건과 관련이 있습니다.