다크호텔 다시 모습 드러내 - 표적은 여전히 큰 조직의 임원진
악성 SWF로 플래시 플레이어 취약점 악용해

[보안뉴스 문가용] 한동안 잠잠했던 다크호텔(DarkHotel) 해킹 단체가 모습을 드러냈다. 이번에는 북한과 중국 통신사들의 임원진들을 노린 것으로 밝혀졌으며 이미 최소 한 명은 공격에 당한 것으로 나타났다. 해당 내용은 베이징의 위협 첩보 전문 스타트업인 쓰레트북(ThreatBook)이 보도했다.



먼저 다크호텔은 최소 2007년부터 활동한 해킹 단체로 대형 기업이나 조직의 임원이 고급 호텔에 머물며 호텔의 와이파이 시스템을 사용할 때를 노려 민감한 정보를 탈취하는 것으로 유명해진 바 있다. 하지만 이러한 수법과 특징이 알려지자 활동을 전면중단했다. 하지만 그렇다고 해서 해킹 자체를 그만둔 건 아니다. 쓰레트북에 의하면 최근 다크호텔은 조작된 SWF 파일을 워드 파일에 임베드시켜 통신사의 임원진들에게 스피어피싱 공격을 하는 것으로 반향을 선회했다는 것.

이 악성 SWF 파일은 CVE-2015-8651 취약점을 익스플로잇 한다. 해당 취약점은 이미 지난 12월 28일에 어도비가 패치한 바 있다. 하지만 사용자들의 늦은 패치가 다크호텔의 이 공격을 가능하게 만들고 있다. SWF 파일의 페이로드는 update.exe이며 일종의 다운로더로 OpenSSL의 한 요소인 것처럼 위장하고 있다. 안티샌드박스, 안티백신 등의 탐지방지 기능을 활용할 수 있을뿐 아니라 적시복호화 기능도 탑재하고 있는 것으로 알려졌다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>