Konni 그룹 EndRAT 확산에 KakaoTalk 악용으로 글로벌 확산 우려

북한 Konni 해킹그룹이 EndRAT 멀웨어를 피싱으로 배포하고 KakaoTalk을 전파 채널로 활용하며 아시아 태평양 지역 안보 위협 증대

• 북한 Lazarus 하위 그룹 Konni가 spear-phishing 이메일을 통해 EndRAT(Remote Access Trojan)을 배포하며, 초기 단계에서 악성 RAR 아카이브와 LNK 실행 파일로 시스템 권한을 획득하고 지속적 접근을 확보합니다.
• EndRAT은 키로깅, 클립보드 스니핑, 파일 업로드 기능을 갖춘 고도화 RAT로, Konni 그룹의 전형적 C2 서버와 API 키를 통해 명령을 수신하며 데이터 탈취를 자동화합니다.
• 특이점은 감염 PC에서 KakaoTalk 메신저를 악용해 추가 피해자에게 ‘공유 파일’로 위장, EndRAT 페이로드를 전파하는 소셜 엔지니어링 전술로, 한국 사용자 기반의 글로벌 확산을 노립니다.
• 공격 인프라는 AWS와 Tencent Cloud를 오용한 호스팅으로 추적을 회피하며, 한국어와 일본어 지원 다국어 캠페인으로 APT 수준의 표적 공격을 증명합니다.
• 이번 작전은 재무부 대상 화폐 탈취에서 지정학적 첩보 수집으로 목적을 확대한 것으로, 아태 지역 기업의 메신저 보안 취약성을 국제적 리스크로 전환시킵니다.

이번 사건은 국가 지원 그룹의 민간 채널 악용이 표준화된다는 점에서 주목할 필요가 있다. 단기적으로는 KakaoTalk 보안 설정 강화, 중장기적으로는 메신저 규제와 국제 APT 정보 공유 협약이 필요하다.

출처: The Hacker News