북한의 APT 단체, 글리밍피시즈: 맥OS용 멀웨어 '폰드랫' 유포

북한의 글리핑피시즈, 맥OS용으로 개발된 새 멀웨어 유포 중

북한의 글리핑피시즈, 맥OS용으로 개발된 새 멀웨어 유포 중

 

• 배경
  • 북한의 APT 단체로 알려진 글리밍피시즈(Gleaming Pisces)가 새로운 맥OS 및 리눅스용 원격 접근 도구(RAT)인 폰드랫(PondRAT)을 유포 중임
  • 이들은 과거 풀랫(PoolRAT)이라는 멀웨어를 유포한 바 있으며, 이번 폰드랫은 풀랫을 기반으로 한 변종으로 보임
  • 폰드랫은 파이선 패키지에 악성코드를 숨겨 개발자들을 타깃으로 하는 캠페인으로 추정됨
• 공격 수법
• - 공격자는 **파이선 패키지**에 악성코드를 삽입하여 멀웨어를 유포 - 감염된 파이선 패키지는 **real-ids**, **coloredtxt**, **beautifultext**, **minisound**로, **수천 번 다운로드**된 기록이 있음 - 이 멀웨어는 **원격 접근 도구**(RAT)로 사용되며, **맥OS**와 **리눅스** 환경에서 작동
• APT 단체 활동
  • 글리밍피시즈는 시트라인슬리트(Citrine Sleet)라는 이름으로도 불리며, 2018년부터 활동 중
  • 주로 암호화폐 산업을 타깃으로 한 공격이 다수 발견되었음
  • 이번 폰드랫 공격은 맥OS 환경을 집중적으로 노리는 캠페인의 일환으로 보이며, 북한 해커들이 맥OS 환경을 지속적으로 공략하고 있음
• 대응 방안
  • 개발자 및 보안 전문가는 파이선 패키지 설치 시 신뢰할 수 있는 출처에서만 다운로드할 것을 권고
  • 보안 솔루션을 통해 파이선 패키지에 숨겨진 악성코드를 탐지할 수 있도록 패키지 관리와 모니터링이 필요
  • APT 단체의 활동에 대한 지속적인 모니터링과 사이버 위협 정보를 주기적으로 업데이트하여 방어 강화