In 2013, there were two major sets of cyberattacks on South Korean targets attributed to elements within North Korea.

March
On 20 March 2013, six South Korean organizations suffered from a suspected cyberwarfare attack. The organizations included three media companies (KBS, MBC, &YTN) and three financial institutions (The National Agricultural Cooperative Federation, Shinhan Bank, & Jeju Bank). The South Korean communications watchdog Korea Communications Commission raised their alert level on cyber-attacks to three on a scale of five. North Korea has been blamed for similar attacks in 2009 and 2011 and was suspected of launching this attack as well. This attack also came at a period of elevated tensions between the two Koreas, following Pyongyang’s nuclear test on 12 February. South Korean officials linked the incident to a Chinese IP address, which increased suspicion of North Korea as "[i]ntelligence experts believe that North Korea routinely uses Chinese computer addresses to hide its cyber-attacks." It was later revealed that the IP address did not originate from China but from the internal network of one of the attacked organizations.

The attacks on all six organizations derived from one single entity. The networks were attacked by malicious codes, rather than distributed denial-of-service (DDoS) attacks as suspected at the beginning. It appeared to have used only hard drive overwrites. This cyberattack “damaged 32,000 computers and servers of media and financial companies.” The Financial Services Commission of South Korea said that Shinhan Bank reported that its Internet banking servers had been temporarily blocked and that  and NongHyup reported that operations at some of their branches had been paralyzed after computers were infected with viruses and their files erased. Woori Bank reported a hacking attack, but said it had suffered no damage.

This cyberattack “caused US$750 million in economic damage alone. (Feakin 2013)” Also, “[t]he frequency of cyber attacks by North Korea and rampant cyber espionage activities attributed to China are of great concern to the South Korean government. (Lewis 2013)”

June
The June 25 cyber terror is an information leak that occurred on June 25, 2013 that targeted Cheongwadae and other institutions. The hacker that caused this incident admitted that the information of 2.5 million Saenuri Party members, 300 thousand soldiers, 100 thousand Cheongwadae homepage users and 40 thousand United States Forces Korea members. There were apparent hacking attacks on government websites. The incident happened on the 63rd anniversary of the start of the 1950-53 Korean War, which was a war that divided the Korean peninsula. Since the Blue House’s website was hacked, the personal information of a total of 220,000 people, including 100,000 ordinary citizens and 20,000 military personnel, using the “Cheong Wa Dae” website were hacked. The website of the office for Government Policy Co-ordination and some media servers were affected as well. 

While multiple attacks were organized by multiple perpetrators, one of the distributed denial-of-service (DDoS) attacks against the South Korean government websites were directly linked to the “DarkSeoul” gang and Trojan.Castov. Malware related to the attack is called "DarkSeoul" in the computer world and was first identified in 2012. It has contributed to multiple previous high-profile attacks against South Korea.

Timeline
At approximately 2013 June 25 9:10 AM, websites such as the Cheongwadae website, main government institute websites, news, etc. became victims of website change, DDoS, information thievery and other such attacks. When connecting to the Cheongwadae homepage words such as 'The great Kim Jong-un governor' and 'All hail the unified chairman Kim Jong-un! Until our demands are met our attacks will continue. Greet us. We are anonymous' would appear with a photo of president Park Geun-hye.

The government changed the status of cyber danger to 'noteworthy' on June 25 10:45 AM, then changed it to 'warning' on 3:40 PM. Cheongwadae uploaded an apology on June 28.

The Ministry of Science, ICT and Future Planning revealed on July 16 that both the March and June incidents corresponded with past hacking methods used by North Korea. However, the attacked targets include a Japanese Korean Central News Agency site and major North Korean anti-South websites, and the hackers also have announced that they would release information of approximately 20 high-ranked North Korean army officers with countless pieces of information on North Korean weaponry.

Response
Following the hacking in June there was further speculation that North Korea was responsible for the attacks. Investigators found that “an IP address used in the attack matched one used in previous hacking attempts by Pyongyang.” Park Jae-moon, a former director-general at the Ministry of Science, ICT and Future Planning said, “82 malignant codes [collected from the damaged devices] and internet addresses used for the attack, as well as the North Korea's previous hacking patterns," proved that "the hacking methods were the same" as those used in the 20 March cyber attacks.

With this incident, the Korean government publicly announced that they would take charge of the “Cyber Terror Response Control Tower” and along with different ministries, the National Intelligence Service (NIS) will be responsible to build a comprehensive response system using the “National Cyber Security Measures.” 

The South Korean government asserted a Pyongyang link in the March cyberattacks, which has been denied by Pyongyang. A 50-year-old South Korean man identified as Mr. Kim is suspected to be involved in the attack.

Appearance in the South Korean National Geographic 
The South Korean National Geographic published cyber terror as one of the top 10 keywords of 2013 due to these attacks.

See also 
 2009 DDoS attacks against South Korea
 Bureau 121
 Lazarus Group

References

2013 in South Korea
Cyberwarfare
2010s internet outages
3·20 전산 대란(-電算大亂)은 2013년 3월 20일 대한민국 주요 언론사와 기업체의 전산망이 마비되고, 안랩 서버 및 다수의 컴퓨터가 악성코드에 감염되어 막대한 피해를 입은 사건이다.

원인 분석

방송통신위원회의 브리핑 
악성코드의 유포로 3만 2천여 대의 시스템이 감염된 것으로 알려져 있다. 방송통신위원회는 사건 당일 브리핑에서 "피해 기관으로부터 채증한 악성코드를 분석한 결과 특정 업체의 업데이터 관리 안랩 하우리 서버(PMS)에서 악성코드가 유포된 것으로 추정된다"고 설명했다. 다음날인 21일 브리핑에서는 단일 조직에 트로이 목마를 통해 사전에 유입된 악성코드에 공격당한 것으로 추정되며, 일부 기업의 악성코드 유입 경로 추적 결과 중국 소재 IP 주소가 발견되었다고 발표했다. 하지만 22일 중국이 아니라 농협은행의 것으로 정정했는데 '101.106.25.105'라는 사설 IP 주소가 중국의 국제 공인 IP 주소와 같아 잘못 판단했다고 한다.

보안 업체의 조사 결과 
보안 업체인 잉카인터넷의 분석 자료에 따르면 ApcRunCmd.exe, Othdown.exe라는 파일명의 악성코드가 확인되었다. 이 악성코드는 2013년 3월 20일 14시가 되면 시스템을 파괴하도록 설계되어 있었다. 하우리는 악성코드가 자사와 안랩의 백신 프로그램의 구성 파일로 위장했다며 정상 파일로 위장한 악성코드가 기업 PC에 침투한 후 실행되어 전산망 마비를 일으켰다고 분석했다. 또한 하우리와 안랩 관계자 모두 자사 백신에 보안 취약점은 없다고 밝혔다. 22일 안랩의 김홍선 대표는 CBS 표준FM 《김현정의 뉴스쇼》와의 인터뷰에서 안랩이 직접 업데이트하는 서버가 아니라 고객사 각자가 관리하는 사내의 관리자 서버가 해킹당한 것이라고 설명했다.

영국의 보안 업체인 '소포스'(Sophos)가 운영하는 '네이키드 시큐리티' 블로그에 올라온 글에 따르면 이미 소포스 제품은 약 1년 전부터 이 악성코드를 감지해왔으며, 하우리와 안랩의 백신 소프트웨어를 무력화하는 명령이 포함되어 있다고 말했다. 또한 악성코드에 포함된 다양한 명령은 난독화되지 않았다고 한다. 미국 보안 업체인 '맥아피'(McAfee)는 이 악성코드가 PuTTY의 설정 파일을 취득하여 원격에 있는 시스템을 파괴하는 명령도 포함되어 있으며, 다른 파일을 추가로 받거나 윈도우 레지스트리를 변경하는 일은 없이 오직 시스템을 사용 불가능한 상태로 파괴하는 목적만 있다고 결론내렸다. 덧붙여 이 악성코드의 초기 형태가 지난해 발견되었다고 말했다.

정부 발표 조사 결과 
4월 10일 오후 정부과천청사 미래창조과학부 브리핑실에서 발표된 중간 조사 결과 발표에서는 북한 정찰총국의 소행으로 추정된다고 결론내렸으며, 2012년 6월 28일부터 최소한 6대의 북한 내부에 있는 PC들로부터 피해 기관에 악성코드를 유포하고 PC에 저장되어 있는 자료를 절취했다고 밝혔다.

공격 및 피해

1차 공격 
 마스터 부트 레코드(MBR)와 볼륨 부트 레코드(VBR)를 파괴하여 컴퓨터가 부팅이 되지 않았다. KBS, MBC, YTN 등 주요 언론사 PC도 피해를 입어 업무에 차질이 있었다. 또한, KBS는 이 날 전산망 복구를 위해 홈페이지를 전면 차단했다.
 신한금융지주의 계열사인 신한은행과 제주은행의 전산망이 장애를 일으켰고, 농협은행도 일부 PC에서 문제를 일으켜 추가 피해를 예방하기 위해 LAN 케이블을 분리하였다. 이들 은행은 당일 18시까지 영업을 연장하였다.
 금융위원회와 금융감독원에 따르면 우리은행에서도 서비스 거부 공격이 있었으나, 내부 시스템으로 방어하였다고 한다. 하지만 방송통신위원회는 브리핑을 통해서 우리은행 건에 대해서는 조사중이라고 발표했다.
 한편 같은 날 자칭 '후이즈'(Whois)라는 해커 그룹이 LG유플러스의 그룹웨어를 해킹했으나, 한국인터넷진흥원(KISA)에서는 금융사 및 방송사의 전산 마비와는 무관하다고 발표하였다. 하지만 잉카인터넷에서는 후이즈가 남긴 변조화면을 구성하는 악성코드가 발견됐다는 점에서 동일범일 것이라고 밝혔다.

변종 등장 
안랩은 같은 달 25일 10시 30분부터 일반 사용자를 대상으로 한 변종을 포착했다고 발표했다. 이 변종은 명령을 전달하는 서버와 교신하는 기능이 추가되어 해커가 원하는 시간대에 일제히 공격을 할 수 있고, 이미 수백 대의 PC가 감염되었다고 밝혔다.

대책 
 정부는 민·관·군 합동 사이버위기대책본부를 구성하였다.
 보안 업체 안랩, 하우리 등은 자사 제품이 문제를 일으킨 악성코드를 검출할 수 있도록 긴급 업데이트를 실시하거나 전용 백신을 배포하고 있다. 각 업체가 부여한 진단명은 아래와 같다.
 안랩 - Win-Trojan/Agent.24576.JPF (JPG, JPH), Dropper/Eraser.427520
 잉카인터넷 - ApcRunCmd.exe : Trojan/W32.Agent.24576.EAN / Othdown.exe : Trojan/W32.Agent.24576.EAO
 하우리 - ApcRunCmd.exe : Trojan.Win32.U.KillMBR.24576 / Othdown.exe : Trojan.Win32.U.KillMBR.24576.A
 시만텍 - Trojan.Jokra
 소포스 - Mal/EncPk-ACE (별칭 "DarkSeoul")

각주 

2013년 대한민국
대한민국의 인터넷
조선민주주의인민공화국의 범죄
사이버 공격
보안
2010년대의 해킹
2013년 3월
사이버 전쟁