검은 광산 작전 (Black Mine Operation) 분석 보고서

안랩에서는 2014년 5월부터 2015년 7월까지 1년 넘게 특정 그룹이 동일한 유형의 악성코드를 이용해 국내 여러 기관과 기업을 공격하고 있음을 파악했다. 악성코드 내부에서 공통적으로 볼 수 있는 ‘BM’과 코드를 자세히 살펴봐야 실제 기능을 파악할 수 있다는 의미에서 이 공격을 ‘검은 광산 작전 (Black Mine Operation, 블랙 마인 오퍼레이션)’으로 명명했다.

Bmdoor 발견 현황 2015년 봄 가장 왕성한 활동

공격자는 파워포인트 자료를 보여주는 실행 파일로 가장한 악성코드를 이용해 특정 대상을 공격한 것으로 보인다. 

파워포인트 자료로 가장한 Bmdoor

현재까지 안랩에서 파악한 공격 대상은 크게 한국의 에너지, 교통, 통신, 방송, IT 기업, 금융, 정치 분야 등으로 다양하다. 이외에도 공격자는 2014년 7월과 2015년 3월에는 국내 웹사이트를 해킹해 일반인을 상대로 악성코드를 퍼뜨리기도 했다.

공격에 이용된 Bmdoor는 정상 실행 파일처럼 보이지만 실행되면 파일 끝부분에 암호화 되어 숨겨진 악성코드가 메모리에서 실행된다. 암호화된 영역은 특징적으로 ‘BM’ 문자열로 시작하며 분석가와 자동분석 시스템을 우회하려는 기능을 포함한 경우가 많다. 

Bmdoor 내 숨겨진 악성코드는 추가 악성코드를 다운로드하는 Bmdown, 원격 제어 기능을 갖춘 Bmbot 등이 존재한다.

또한 지속적으로 발생하는 해당 공격에 대해 분석해 본 결과, 기존에 한국을 대상으로 한 대형 공격인 3.20 전산망 장애, 6.25 사이버 공격 등을 비교했을 때 블랙 마인 오퍼레이션 공격 추정 세력과 이들 그룹과의 연관 가능성이 있음을 확인했다.

자세한 내용은 다음 주소에서 확인 할 수 있다.

- 월간 안 2015년 11월호