사서 구울, 러시아 기업에 암호화폐 채굴 및 데이터 절도 캠페인 전개

사서 구울(Librarian Ghouls, 일명 희귀 늑대인간 및 레제트)로 알려진 APT(Advanced Persistent Threat) 그룹에 의해 자행된 정교한 사이버 공격 캠페인이 러시아 및 CIS 기업을 적극적으로 표적으로 삼고 있습니다. 이 그룹은 합법적인 타사 소프트웨어를 사용하여 원격 액세스를 설정하고, 자격 증명을 훔치고, XMRig 암호화폐 채굴기를 배포하여 수백 개의 산업 기업과 공학 학교에 영향을 미쳤습니다.

주요 시사점

• 정교한 피싱: 사서 구울은 러시아어 사용자를 대상으로 고도로 설득력 있는 피싱 이메일을 사용합니다.

• 합법적인 소프트웨어 남용: 주요 특징은 합법적인 타사 도구를 광범위하게 사용하여 탐지 및 귀속을 어렵게 만든다는 것입니다.

• 은밀한 작업: 예정된 기상 및 종료 시간은 사용자로부터 활동을 숨기도록 설계되었습니다.

• 이중 목표: 이 그룹은 데이터 도난(자격 증명, 암호화폐 지갑)과 암호화폐 채굴을 통한 재정적 이득을 모두 목표로 합니다.

• 지속적인 위협: 이 캠페인은 계속 활발하게 진행되고 있으며, 사이버 보안 연구원들은 전술과 도구의 지속적인 개선을 관찰하고 있습니다.

사서 구울: 지속적인 위협

희귀한 늑대인간 2019년부터 활동해 왔으며, 러시아와 독립국가연합(CIS)의 조직을 꾸준히 표적으로 삼고 있습니다. 2025년 5월까지 계속된 이들의 작전은 주로 산업 기업과 공학 학교를 대상으로 하며, 벨라루스와 카자흐스탄에서도 일부 피해자가 보고되었습니다. 이 그룹의 전술은 맞춤형 악성코드보다는 쉽게 구할 수 있는 합법적인 소프트웨어에 의존한다는 점에서 잠재적인 해커 활동 동기를 시사합니다.

운영 방식: 피싱 및 합법적인 도구

사서 구울의 초기 감염 경로는 고도로 표적화된 피싱 이메일입니다. 이 이메일은 종종 러시아어로 작성되고 러시아어 파일 이름과 미끼 문서를 포함하며, 공식 통신이나 지불 명령으로 위장합니다. 여기에는 악성 실행 파일이 포함된 암호로 보호된 아카이브가 포함됩니다. 피해자가 이 파일을 열면 복잡한 감염 체인이 시작됩니다.

• 초기 페이로드: Smart Install Maker로 생성된 설치 프로그램은 4t Tray Minimizer와 같은 합법적인 소프트웨어를 배포하여 존재를 숨깁니다.

• 원격 액세스 및 데이터 유출: 중간 페이로드는 원격 서버에서 추가 도구를 가져옵니다. 여기에는 다음이 포함됩니다.

  • AnyDesk: 손상된 시스템의 원격 제어용.

  • Blat: SMTP를 통해 도난당한 데이터를 전송하는 유틸리티.

  • Defender Control: Windows Defender를 비활성화합니다.

  • 맞춤형 WinRAR 3.80: 데이터 압축용.

  • WebBrowserPassView: 브라우저에 저장된 자격 증명을 훔칩니다.

  • Mipko Personal Monitor: 스크린샷 및 키 입력 포함하여 피해자 모니터링용.

  • ngrok: 보안 네트워크 서비스 연결용.

  • NirCmd: 스크립트를 은밀하게 실행합니다.

• 예정된 작업: 공격자는 감염된 장치를 현지 시간으로 오전 1시에 깨어나고 오전 5시에 종료하도록 프로그래밍합니다. 이 4시간 동안 데이터 도난 및 암호화폐 채굴과 같은 활동을 수행하여 사용자 의심을 최소화합니다.

• 데이터 도난: 이 그룹은 특히 다음을 표적으로 삼습니다.

  • 암호화폐 지갑 자격 증명 및 시드 문구.

  • HKLM\SAM 및 HKLM\SYSTEM 레지스트리 키 덤프.

• 암호화폐 채굴: 데이터 유출 후 XMRig 암호화폐 채굴기가 설치됩니다. 채굴기는 채굴 작업을 최적화하기 위해 피해자의 시스템 정보(CPU 코어, RAM, GPU)를 기반으로 구성됩니다.

러시아 및 CIS 국가의 조직은 이 진화하는 APT 그룹으로 인한 위험을 완화하기 위해 사이버 보안 방어를 강화하고, 강력한 이메일 보안 조치를 구현하며, 직원들에게 피싱 위협에 대해 교육할 것을 촉구합니다.

출처

• 희귀 늑대인간 APT, 수백 개의 러시아 기업 공격에 합법적인 소프트웨어 사용, The Hacker News.

• 암호화폐 채굴 그룹, 수백 대의 장치 해킹하여 암호화폐 채굴, Cointelegraph.

• '사서 구울' APT 그룹, 조직 표적, GBHackers News.

• 사서 구울 APT, 데이터 도난 및 암호화폐 채굴기 배포로 공격 수행, Securelist.

• 해커 그룹 희귀 늑대인간, 러시아 장치 탈취하여 암호화폐 채굴 및 데이터 도난, Crypto News.

이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.