중국 곤명 무차별 살상 사건에 편승 한 E 메일 공격 도구 "Gh0st RAT"유도

2014 년 3 월 1 일, 중국 윈난성 곤명시에서 29 명이 사망하는 무차별 살상 사건 이있었습니다. "TrendLab (트렌드 랩)」에서는이 사건을 사회 공학 수법으로 이용한 E 메일을 확인했습니다. 이 문제의 E 메일은 합법적으로 보이기 위해 사건의 자세한 내용과 정보 소스로 일부 언론에 언급하고 있습니다. 그리고 더 자세한 정보를 요구하는 사용자에게 첨부 파일을 개봉합니다. 이 첨부 파일에 붙은 "과격한 테러 공격"이라는 파일 이름은 아마받는 사람의 관심을 끌기 때문이라고 생각됩니다.

그림 1 : 운남 곤명 무차별 살상 사건에 편승 한 E 메일의 예

문제의 첨부 파일은 " TROJ_EXPLOYT.AGH "로 감지되고,이 악성 프로그램은 Microsoft Office에 존재하는 특정 취약점 (CVE-2012-0158 , MS12-027 )을 이용하여 PC에 백도어 악성 프로그램 " BKDR_GHOST.LRK "을 만듭니다. 이 백도어 활동 외에,이 악성 프로그램은 키 입력 작업 정보의 기록이나 음성 녹음, 화면 캡처를 이용하여 정보를 수집합니다.

"BKDR_GHOST.LRK"분석을 진행하는 가운데, 트렌드 연구소의 1 점에 주목했습니다. 그것은이 악성 프로그램이 자신의 명령 및 제어 (C & C) 서버와 통신 할 때 "LURK0"라는 단어를 사용했다 점입니다. 이 문자열은 표적 공격 캠페인 "GhostNet"에서 사용 된 악성 프로그램의 변종도 관련이 있습니다. 트렌드 마이크로가 지난해 발표 한 ' Detecting APT Activity with Network Traffic Analysis (영문) "에서"Ghost "패밀리 변종이 헤더에"Gh0st "대신"LURK0 "를 이용하게 언급했습니다 .

또한 환경 설정 파일에 "default"식별자가 포함되어있었습니다. 이것은 악성 프로그램이 어떤 표적 공격 캠페인에 속하는지 나타 내기 위해 사용되는 것입니다. 트렌드 마이크로는 동일한 식별자를 가진 검체를 2012 년에서 확인합니다.

이번 공격은 특정 사용자를 겨냥한 것이지만, 일반 사용자들도이 공격의 피해자가 될 가능성이 있습니다. 스팸 메일 공격은 클릭 싶어지는 흥미로운 화제 가 자주 사용되어 사용자가 링크를 클릭하거나 첨부 파일을 개봉하여 다양한 위협에 노출 될 수 있습니다.

사용자가 스팸 메일에 첨부 된 파일을 개봉 하였거나 링크를 클릭하지 않도록하십시오. 최신 뉴스 및 시사 문제를 알고 싶을 때는, 신용을 둘 유명한 뉴스 사이트를 직접 방문하는 것이 좋습니다.

Trend Micro 제품을 준비 사용자가 우리의 클라우드 보안 기초 " Trend Micro Smart Protection Network "에 의해 지켜지고 있습니다. 특히 " E-mail 평판 "기술은 이러한 위협에 대한 E 메일을 차단합니다. 또한 " Web 평판 "기술은 이러한 위협에 대한 잘못된 Web 사이트에 대한 액세스를 차단합니다. 그리고 " 파일 평판 "기술은 위의 악성 프로그램을 감지하고 제거합니다.

※ 협력 작성자 : Mark Manahan

참고 기사 :

" Kunming Attack Leads to Gh0st RAT Variant " 
by Kervin Alintanahin (Threats Analyst)