<분석 개요>

한국군사문제연구원(KIMA)에서 발간하는 「월간KIMA 군사와 안보」로 위장한 악성코드가 확인되었다. 해당 악성코드는 Dropbox, GitHub 등 정상 클라우드 서비스를 단계적으로 악용하여 페이로드를 다운로드 및 실행하며, 최종적으로 감염 시스템의 정보를 수집하고 지속성을 확보하는 것으로 확인되었다.

최종 단계에서는 초기 실행된 VBE 파일을 작업 스케줄러에 등록하여 지속성을 확보하며, 사용된 작업 이름과 악성코드 저장 경로는 기존 Kimsuky 공격 사례에서 반복적으로 확인된 특징과 일치하였다. 수집 대상은 시스템 정보, 다운로드 폴더 목록 및 실행 중인 프로세스 목록 등으로 침해 정도가 높지 않으나, 공격 대상의 환경을 파악하기 위한 정찰 정보로 활용되어 후속 침투 또는 추가 공격에 악용될 가능성이 있으므로 주의가 필요하다.

[공격 도식도]