보안권고문: SKT USIM 정보 유출(해킹) 이슈 추가 확인 내역 및 주의 안내

[MCSOC 보안권고문] SKT USIM 정보 유출(해킹) 이슈 추가 확인 내역 및 주의 안내

2025. 4. 29.

🔔 개요

SKT USIM 정보 유출(해킹) 사고 추가 확인 내역 및 주의 안내

• SK텔레콤의 해킹 사건에서는 리눅스 기반의 악성코드 'BPF도어'가 사용

• 특정 네트워크 패킷을 수신하면 활성화되며, 시스템 내에서 은밀하게 작동

보안 탐지를 우회하여 공격자는 감염된 서버를 원격 제어 및 중요한 정보를 탈취할 수 있음
• 한국을 비롯한 여러 국가에서 통신 기업을 주요 타깃으로 삼음

• 중국 기반 APT 그룹 '레드멘션'과 연결되어 있으나 최근 BPF도어를 오픈소스로 배포

이번 공격의 배후를 특정하기는 어려운 상황으로 확인

🔔 탐지 경로

• /tmp/zabbix_agent.log, /bin/vmtoolsdsrv 등 포렌식 분석을 어렵게 하는 은닉 경로 활용

🔔 권고 내역

• KISA 에서 제공한 공격지 IP 165.232.174[.]130 및 악성 코드에 대한 파일 Hash 값 차단 적용

hpasmmld
- SHA1 : e6ccf59c2b7f6bd0f143cde356f60d2217120ad2
- SHA256 : c7f693f7f85b01a8c0e561bd369845f40bff423b0743c7aa0f4c323d9133b5d4
- MD5 : a47d96ffe446a431a46a3ea3d1ab4d6e

smartadm
- SHA1 : 466527d15744cdbb6e1d71129e1798acbe95764d
- SHA256 : 3f6f108db37d18519f47c5e4182e5e33cc795564f286ae770aa03372133d15c4
- MD5 : 227fa46cf2a4517aa1870a011c79eb54

hald-addon-volume
- SHA1 : e3399ea3ebbbd47c588ae807c4bd429f6eef8deb
- SHA256 : 95fd8a70c4b18a9a669fec6eb82dac0ba6a9236ac42a5ecde270330b66f51595
- MD5 : f4ae0f1204e25a17b2adbbab838097bd

dbus-srv-bin.txt
- SHA1 : 2ca9a29b139b7b2993cabf025b34ead957dee08b
- SHA256 : aa779e83ff5271d3f2d270eaed16751a109eb722fca61465d86317e03bbf49e4
- MD5 : 714165b06a462c9ed3d145bc56054566

• 시스템 내 BPF 필터 설치 여부 점검
• 비정상적인 네트워크 트래픽 및 비허가된 포트 활동 모니터링
• 침입 탐지 시스템 (IDS) 및 침입 방지 시스템 (IPS) 강화
• 엔드포인트 탐지 및 대응(EDR) 솔루션 미 사용 시 도입 필요