韩国 ERP 供应商遭黑客攻击，被悄悄安上后门
内容提要
韩国ERP供应商服务器遭到入侵，传播名为Xctdoor的后门程序。攻击手法与朝鲜Lazarus Group的Andariel类似。攻击者篡改可执行文件，窃取系统信息并执行命令。朝鲜黑客组织Kimusky使用代号为HappyDoor的后门。该攻击链利用网络钓鱼邮件传播压缩文件，窃取信息并更新自身活动。这是继Konni网络间谍组织之后的大规模恶意软件传播活动。
延伸解读
攻击手法的延续与演变
此次攻击与2017年Andariel利用ERP解决方案传播HotCroissant等恶意软件的手法类似，均通过篡改可执行文件或软件更新程序进行传播。这表明针对韩国ERP供应链的攻击具有持续性，攻击者可能长期瞄准该领域，并不断调整技术以规避检测。
Xctdoor后门的功能与通信特点
Xctdoor后门能够窃取击键、屏幕截图和剪贴板内容，并执行攻击者命令。它使用HTTP协议与C&C服务器通信，数据包加密采用MT19937算法和Base64算法。这种加密组合可能用于混淆通信内容，增加安全设备检测难度。
XcLoader的注入机制
攻击中使用的XcLoader是一个注入器恶意软件，负责将Xctdoor注入合法进程（如explorer.exe）。通过注入合法进程，恶意代码可以隐藏自身，逃避安全软件的查杀，并借助合法进程的网络通信能力进行数据外传。
HappyDoor后门与钓鱼攻击链
另一个朝鲜黑客组织Kimusky使用的HappyDoor后门早在2021年7月就已投入使用。该攻击链通过鱼叉式网络钓鱼邮件传播压缩文件，内含混淆的JavaScript或dropper，通过regsvr32.exe执行DLL文件，创建并运行HappyDoor和诱饵文件。HappyDoor可通过HTTP与远程服务器通信，便于窃取信息、下载/上传文件及更新自身。
Q&A
Xctdoor后门程序的主要功能是什么？
Xctdoor能够窃取系统信息，包括击键、屏幕截图和剪贴板内容，并执行命令。
这次攻击与哪个黑客组织有关？
这次攻击与朝鲜的Lazarus Group及其附属组织Andariel有关。
攻击者是如何传播Xctdoor的？
攻击者通过篡改可执行文件和使用鱼叉式网络钓鱼邮件传播压缩文件来传播Xctdoor。
Xctdoor是如何与命令与控制服务器通信的？
Xctdoor使用HTTP协议与命令与控制服务器通信，数据包加密采用MT19937和Base64算法。
Kimusky组织使用的后门程序是什么？
Kimusky组织使用的后门程序代号为HappyDoor。
这次攻击的规模如何？
这是继Konni网络间谍组织之后又一起针对韩国的大规模恶意软件传播活动。
