lazarusholic

2024-04-22, Sakai
http://wezard4u.tistory.com/6795
#Kimsuky

오늘은 북한의 해킹 조직에서 피싱 메일(Phishing mail)를 보내려고 만든 악성코드인 MailSending(Phishing mail tool)에 대해서 알아보겠습니다.해당 악성코드는 국제적으로 해킹해서 개인정보 및 가상화폐(암호화폐) 등을 수집하기 위해서 해킹을 하는 해킹 단체이고 2017년 Cisco Talos 연구원이 처음 발견했으며, 2014년부터 탐지되지 않은 채 고도의 타깃 공격으로 하는 북한의 해킹 단체 Thallium, APT37과 관련된 해킹 단체이며 Kimsuky(김수키)에서 만든 MailSending(Phishing mail tool) 입니다.
먼저 해쉬값은 다음과 같습니다.
파일명:MailSending.exe
사이즈:2.33 MB
MD5:67e06fae0cd9c27c29622c79214f92a4
SHA-1:c28a5bae3604c4aeece90ea4cd450099a05c0db6
SHA-256:bb9c0396a61fa16d8c482a4a17e520fae908aa826e54243da6473494fa5f2305
해당 악성코드는 피싱 메일을 보내기 만든 도구이며 대한민국 국민을 대상으로 피싱(Phishing) 메일을 보내어서 정보를 탈취하기 위해서 자동화 도구를 만든 악성코드입니다.
해당 악성코드는 다음과 같은 전자 메일을 사용하는 분들을 타겟으로 하고 있습니다.
네이버
다음
지메일
핫메일
야후 메일
그리고 북한에서 사용하는 언어를 발견할 수가 있습니다.
예를 들어서 다음과 같이 오유:메세지파일을 다시 선택해주십시오.
이라고 돼 있습니다.
sending URL은 다음과 같습니다.
hxxps://uws64-179(.)cafe24(.)com hxxp://gunsanvill(.)co(.)kr/skin/visit/basic/notice(.)php hxxp://jeilhospital1(.)cafe24(.)com/skin/visit/basic/notice(.)php
해당 프로그램에서는 기본적으로 예약 시스템이 존재하고 해당 메일을 보내는 국가를 선택할 수가 있으면 국가는 대만, 대한민국, 러시아, 마카오, 미국, 이란으로 설정할 수가 있는 것을 확인할 수가 있습니다.
여기서 From_Name: 보낸사람
From_Address: 보내는 사람의 이메일 주소
Auto Sending: 자동으로 이메일을 보내려고 시간을 설정
Mali Subject: 피싱(Phishing)메일의 이메일 …

67e06fae0cd9c27c29622c79214f92a4
bb9c0396a61fa16d8c482a4a17e520fae908aa826e54243da6473494fa5f2305
c28a5bae3604c4aeece90ea4cd450099a05c0db6
http://gunsanvill.co.kr/skin/visit/basic/notice.php
http://jeilhospital1.cafe24.com/skin/visit/basic/notice.php
https://uws64-179.cafe24.com