[분석] 북한의 사이버 군사 조직 ‘APT45’, 공격 범위 확대중

https://www.dailysecu.com/news/articleView.html?idxno=158083

[분석] 북한의 사이버 군사 조직 ‘APT45’, 공격 범위 확대중 - 데일리시큐

https://www.epnc.co.kr/news/articleView.html?idxno=304655

맨디언트, 북한 해킹 조직 '안다리엘' APT45 지정

 

 

배경 APT45는 2009년부터 활동해 온 북한의 사이버 공격 조직으로, 다양한 해킹 기술을 사용해 보안 시스템을 우회하는 중간 수준의 정교함을 갖추고 있다. 초기에는 정찰 활동에 집중했으나 최근에는 금전적 이익을 목표로 한 공격을 늘리고 있다.

맨디언트의 분석 맨디언트(Mandiant)는 24일 블로그를 통해 APT45를 북한 정부의 지원을 받는 중간 수준의 정교함을 갖춘 사이버 공격 조직으로 평가했다. APT45는 2009년부터 북한 정부의 정치적 이해관계에 따라 다양한 사이버 공격을 수행해왔으며, 초기에는 정부 기관과 방위 산업을 대상으로 스파이 활동에 집중했다가 이후 금융 분야를 노리며 공격 범위를 확장했다. 최근에는 랜섬웨어 개발에도 관여한 것으로 보인다.

주요 목표와 작전 대상 APT45는 북한 정부의 정책 변화에 따라 활동 방향을 바꾸어 왔다. 2017년부터는 정부 기관과 방위 산업에 집중했고, 2019년에는 핵 문제 및 에너지에 대한 공격을 수행했다. 2016년에는 한국의 금융 기관을, 2021년에는 남아시아의 은행을 피싱 공격했다. 2019년에는 인도의 쿠단쿨람 원자력 발전소를 타겟으로 삼았다.

기술 탈취와 경제적 목적 APT45는 북한 산업 발전의 어려움을 극복하기 위해 기술 탈취에도 적극 나서고 있다. 2019년 9월에는 다국적 기업의 농업 과학 부서를 목표로 삼아 첨단 농업 관련 기술 정보를 손에 넣으려 했다. 이는 북한의 농업 생산 문제를 해결하기 위한 것으로 보인다. 또한, 코로나19 시기에는 의료 및 제약 분야를 노렸으며, 이는 코로나19 치료제, 백신, 의료 기술 확보를 위한 것으로 보인다.

랜섬웨어 활용 APT45는 랜섬웨어를 사용해 작전 자금을 조달하거나 북한 정권을 위한 수익을 창출하고 있다. 2022년에는 MAUI 랜섬웨어를 사용해 의료 및 공공 건강 부문을 목표로 삼았고, 2021년에는 SHATTEREDGLASS 랜섬웨어를 사용한 것으로 보인다.

악성 코드와 조직 구조 APT45는 3PROXY 같은 공개 도구, ROGUEEYE 같은 공개된 악성 코드를 수정한 버전, 그리고 맞춤형 악성 코드를 사용한다. 이들의 악성 코드는 다른 북한의 공격 그룹과 차별화된 특징을 보인다. 맨디언트는 APT45가 북한 정찰총국(RGB)에 속한 조직일 가능성을 보고 있으며, APT45의 활동은 "Andariel", "Onyx Sleet", "Stonefly", "Silent Chollima" 등의 이름으로 공개되었고, "Lazarus Group"과도 연관되어 있다.

결론 APT45는 북한에서 가장 오랫동안 활동해 온 공격 조직 중 하나로, 북한 정권의 지정학적 우선순위를 반영하며 활동 범위를 넓혀왔다. 맨디언트는 APT45가 정보 수집과 금전적 이익을 동시에 추구하며, 북한의 사이버 공격이 국가의 주요 역량으로 활용됨에 따라 북한 지도부의 변화하는 정책 우선순위에 따라 활동할 것으로 예상하고 있다.

 

---

https://www.dailysecu.com/news/articleView.html?idxno=158087

中 해킹그룹 APT41, 물류·미디어·엔터·기술·자동차 분야 기업 대상 표적 공격 중 - 데일리시큐

 

APT41의 주요 활동
1. 대상

공격 분야: 물류, 미디어, 엔터테인먼트, 기술, 자동차.
공격 지역: 이탈리아, 스페인, 대만, 태국, 터키, 영국 등.
2. 공격 기법

웹 셸 사용: ANTSWORD, BLUEBEAM.
백도어: BEACON 백도어를 사용한 명령 및 제어 통신.
데이터 유출: SQLULDR2로 데이터베이스 복사, PINEGROVE로 Microsoft OneDrive에 데이터 유출.
3. 침투 방식

지속성 유지: Tomcat Apache Manager 서버에 웹 셸 설치.
드로퍼: DUSTPAN, DUSTTRAP을 사용해 암호화된 페이로드 실행.

 

---

APT45와의 차이점

APT45

• 활동 시작: 2009년.
• 공격 대상: 정부 기관, 방위 산업, 금융 부문, 의료 및 농업 분야.
• 공격 기법: 맞춤형 악성 코드, 랜섬웨어 사용.
• 목적: 정보 수집, 금전적 이익, 기술 탈취.

APT41

• 활동 시작: 명시되지 않음.
• 공격 대상: 물류, 미디어, 엔터테인먼트, 기술, 자동차.
• 공격 기법: 웹 셸, 백도어, 데이터 유출 도구 사용.
• 목적: 경제적 이익, 첩보 작전.

APT45는 주로 정부 기관과 방위 산업에 집중했으며, 맞춤형 악성 코드와 랜섬웨어를 사용한 반면, APT41은 물류와 기술 등 다양한 산업을 타겟으로 하고 웹 셸과 백도어를 이용한 데이터 유출에 중점을 두었음