북한 사이버 공격집단 크롬(Chromium) 취약점 악용해 가상화폐 훔쳤다

북한 사이버 공격집단 크롬(Chromium) 취약점 악용해 가상화폐 훔쳤다

최근 다양한 취약점과 익스플로잇을 연구하는 마이크로소프트 시큐리티 리스폰스 센터가 북한의 사이버 공격 집단 'Citrine Sleet(UNC4736)'이 브라우저 엔진인 크롬의 취약점 'CVE-2024-7971'을 악용해 원격코드 실행 제로데이 익스플로잇을 진행했다고 보고했습니다. Citrine Sleet은 가상화폐를 훔칠 목적으로 금융기관 등의 조직을 표적으로 하고 있었던 것으로 보입니다.

CVE-2024-7971은 크롬(Chromium) 기반 브라우저에서 채택하고 있는 자바스크립트 엔진의 V8에 존재한 형태의 오류로 인한 제로데이 취약점으로 공격자가 의도적으로 브라우저 충돌을 일으키거나 장치 상에서 임의의 코드를 실행하는 익스플로잇이 가능해집니다.

이 CVE-2024-7971은 2024년 8월 21일에 이루어진 크롬의 보안 업데이트(버전 128.0.6613.84)에서 수정되었습니다. 그러나 마이크로소프트 시큐리티 리스폰스 센터에 따르면 CVE-2024-7971이 취약점으로 수정되기 전인 2024년 8월 19일에는 이미 CVE-2024-7971을 이용한 공격이 이뤄진 흔적을 확인했다고 한다.

Microsoft 보안 리스폰스센터는 「공격자는 Citrine Sleet이라고, 중간 정도의 확신을 가지고 결론짓고 있습니다」라고 보고하고 있습니다. Citrine Sleet은 북한 정찰총국 제121국과 관련된 사이버공격 집단으로 가상화폐를 관리하는 금융기관과 개인을 겨냥해 가상화폐 거래플랫폼을 가장한 가짜사이트나 가짜 가상화폐 거래 앱으로 유도해 속여 그 자산을 훔치고 있다고 합니다.

이번 공격에서 Citrine Sleet은 가짜 페이지로 타겟을 유도합니다. 이 가짜 페이지에 접속하면 타겟 디바이스는 CVE-2024-7971 익스플로잇에 의해 "Fud Module"이라고 불리는 루트킷을 실행시킬 수 있습니다. 이 루트킷은 다양한 보안 소프트웨어에 의한 검출을 회피할 수 있도록 커널을 조작하는 기능을 가지고 있어, 타겟에 알려지지 않게 디바이스내의 데이터를 외부 서버에 업로드하는 것을 가능하게 합니다.

Microsoft 보안 리스폰스 센터는 '표적이 되어 보안이 침해된 고객'에게는 통지가 완료되었다고 하지만, 표적이 된 것이 누구인지, Citrine Sleet의 공격에 의한 피해 규모는 어느 정도인지에 대해서는 상세한 내용을 밝히지 않았습니다. 또한 구글 대변인은 IT계 뉴스 사이트인 테크크런치에 CVE-2024-7971이 수정된 것 외에는 코멘트할 수 없다고 말했습니다.

또한 보안 정보에 정통한 뉴스 사이트인 Bleeping Computer에 따르면, 이번 Citrine Sleet의 공격으로 표적이 된 조직 중 하나는 이전에도 다른 북한 관련 사이버공격집단인 'Blue Noroff'에게도 표적이 되었다고 합니다.

*재미있거나 도움이 되셨다면 '구독' 꾹 눌러 주시기를 부탁드립니다. 늘 행복하세요.

 

North Korean threat actor Citrine Sleet exploiting Chromium zero-day | Microsoft Security Blog
https://www.microsoft.com/en-us/security/blog/2024/08/30/north-korean-threat-actor-citrine-sleet-exploiting-chromium-zero-day/

North Korean hackers exploited Chrome zero-day to steal crypto | TechCrunch
https://techcrunch.com/2024/08/30/north-korean-hackers-exploited-chrome-zero-day-to-steal-crypto/

North Korean hackers exploit Chrome zero-day to deploy rootkit
https://www.bleepingcomputer.com/news/security/north-korean-hackers-exploit-chrome-zero-day-to-deploy-rootkit/