이번 주 요약에서 CTI는 2023 년 상반기 동안 USB 드라이브를 통해 악성코드를 전달하는 공격의 급증을 보여주는 Mandiant 보고서를 조사합니다. 여기에는 2개의 새로운 캠페인이 포함됩니다. 다음으로, CTI는 랜섬웨어 활동이 올해 이전 기록을 깨뜨릴 것으로 예측하는 보고서를 보고, 연구원들은 성공적인 몸값 지급 횟수가 전반적으로 증가하는 것을 관찰하고 있습니다. 마지막으로, CTI는 Big Head로 알려진 랜섬웨어 균주를 조사합니다.
1. USB 드라이브 멀웨어 공격은 2023년 상반기에 급증
Mandiant에 따르면, 2023년 상반기에 USB 드라이브를 통해 멀웨어를 전달하는 공격 수가 3배 증가했습니다.
또한 Mandiant의 보고서는 SOGU 악성코드 및 SNOWYDRIVE를 포함하여 스파이크에 기여한 두 가지 새로운 USB 제공 악성코드 캠페인을 강조합니다.
USB를 통한 SOGU 스프레드
맨디언트는 공격자가 멀웨어, 도구 및 유틸리티를 저장하는 데 일반적으로 사용하는 디렉터리에서 의심스러운 파일 쓰기 이벤트를 검색하면서 이 캠페인을 처음 발견했습니다.
연구자들은 SOGU 캠페인이 “USB 플래시 드라이브를 사용하는 가장 일반적인 USB 기반 사이버 스파이 공격이며, 전 세계 산업 수직 시장에서 공공 및 민간 부문 조직을 표적으로 하는 가장 공격적인 사이버 스파이 캠페인 중 하나”라고 언급합니다.
이 캠페인은 USB를 사용하여 SOGU 멀웨어를 로드하고 피해자 장치에서 정보를 훔칩니다. 맨디언트는 이 캠페인을 중국과 관련된 스파이 행위자인 TEMP.hex에 귀속시키며, 이 캠페인은 중국 국가 안보/관심을 지원하기 위한 정보를 수집하기 위해 수행되었다고 생각합니다.
Mandiant의 조사에 따르면 이러한 공격은 유럽, 아시아 및 미국 전역의 광범위한 산업에 위험을 제기합니다.
- 초기 감염: 초기 감염 벡터는 감염된 USB 드라이브입니다. 이 플래시 드라이브에는 DLL 하이재킹을 통해 악성 페이로드를 메모리에 로드하도록 설계된 여러 악성 소프트웨어가 포함되어 있습니다.
- 확립된 기준: 감염 체인은 일반적으로 합법적인 실행 파일, 악성 DLL 로더 및 암호화된 페이로드를 포함한 세 개의 파일로 구성됩니다.
합법적인 실행 파일이 실행되면 KORPLUG라고 하는 악성 DLL 파일이 사이드 로드됩니다. 그런 다음 KORPLUG 악성코드는 암호 해독된 셸코드를 로드하여 메모리에서 실행합니다. 이 셸 코드는 C로 작성된 백도어이며 SOGU라고 합니다.
- 정찰 및 데이터 스테이징: 호스트 정찰 명령을 실행하고 결과를 c3lzLmluZm8이라는 파일로 출력하는 recycle.bin 파일 배스에 배치 파일이 드롭됩니다.
이 악성코드는 특정 확장자가 있는 파일을 C 드라이브에서 검색하고 암호화된 파일을 다음 디렉터리에 드롭하기 전에 원본을 인코딩하여 각 파일의 사본을 암호화합니다.
C:\Users\\AppData\Roaming\Intel\\
:\RECYCLER.BIN\\
- 지속성: 악성코드는 합법적인 프로그램으로 가장하는 디렉터리를 생성하고 디렉터리의 속성을 숨김으로 설정합니다. 그런 다음 기본 구성 요소를 새로 생성된 디렉터리에 복사합니다.
또한, 악성코드는 이전에 생성한 디렉터리와 동일한 이름을 가진 레지스트리 실행 키를 생성합니다. 일부 SOGU 변형에서는 지속성을 위해 10 분마다 악성코드를 실행하기 위해 추가 예약된 작업이 생성되었습니다.
- 유출: 악성코드는 공격의 마지막 단계 동안 스테이징된 모든 데이터를 유출합니다. 멀웨어에는 HTTP, HTTPS, TCP 또는 UDP를 통한 사용자 지정 바이너리 프로토콜 및 명령 및 제어(C2) 서버와 통신하기 위한 ICMP가 포함될 수 있습니다.
또한 파일 전송, 파일 실행, 원격 데스크톱, 스크린샷 캡처, 리버스 셸 및 키로깅을 포함한 광범위한 명령을 지원합니다. 마지막으로, 이 악성코드는 감염된 장치에 연결된 새로운 이동식 장치에 자체적으로 복사할 수 있으므로 에어갭 시스템에서 데이터를 잠재적으로 수집할 수 있습니다.
USB를 통한 SNOWYDRIVE 악성코드 감염은 아시아의 석유 및 가스 조직을 표적으로 삼습니다
또한 이 캠페인은 USB를 사용하여 SNOWYDRIVE 악성코드를 전달합니다. 멀웨어가 로드된 후 시스템에 백도어를 생성하고 위협 범죄자가 원격으로 시스템 명령을 발급할 수 있는 액세스 권한을 제공합니다.
또한 다른 USB로 확산되어 네트워크를 통해 전파될 수 있습니다. 맨디언트는 이 캠페인을 UNC4698로 분류했으며, 이는 이전에 아시아의 석유 및 가스 산업을 표적으로 삼은 위협 범죄자입니다.
이 공격자는 Windows 명령 프롬프트를 통해 페이로드를 실행하고, 이동식 미디어 장치를 사용하고, 로컬 스테이징 디렉터리를 생성하고, Windows 레지스트리를 수정합니다.
- 초기 감염: 다시 말하지만, 이 캠페인의 초기 감염 벡터는 감염된 USB 장치입니다. 이 경우, 악성코드는 피해자가 합법적인 실행 파일로 가장하는 악성 파일을 클릭하도록 유인합니다. 피해자가 이 파일을 클릭하면 악성 확장자 체인이 트리거됩니다.
- 발판 설정: 감염은 드롭퍼 역할을 하는 실행 파일에서 시작됩니다. 이 드롭퍼는 악성 파일을 디스크에 작성한 다음 실행하는 역할을 합니다.
암호화된 파일에는 C[:]\Users\Public\SymantecsThorvices\Bin 디렉터리에서 추출되고 기록되는 실행 파일 및 DLL이 포함됩니다. 파일은 합법적인 실행 파일과 악성 DLL로 구성된 네 가지 주요 구성 요소로 나눌 수 있습니다.
- 명령 및 제어: 셸코드 기반 백도어인 SNOWYDRIVE는 시스템 이름, 사용자 이름 및 볼륨 일련 번호를 기반으로 고유한 식별자를 생성합니다. 이는 일반적으로 셸 코드에서 하드코딩된 상태로 발견되는 C2 서버와 통신할 때 고유한 ID 역할을 합니다.
- 지속성: 캠페인은 지속성에 다음 레지스트리 값을 사용합니다.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba
- 측면 이동: 그런 다음 악성코드는 감염된 장치에 연결된 이동식 드라이브에 자체적으로 복사합니다. 그러면 이동식 드라이브에 “\Kaspersky\Usb Drive\3,0” ” 폴더가 생성되고 악성 구성 요소가 포함된 암호화된 파일을 복사합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“최근 USB로 전달된 악성코드의 급증은 이러한 공격이 장치에 대한 물리적 액세스가 필요하지만 오늘날의 환경에서 관련성을 유지하는 이점이 있음을 상기시켜 줍니다.”
이러한 캠페인에 대한 맨디언트의 조사 결과, 현지 인쇄 상점과 호텔이 USB 멀웨어 감염의 핫스팟 역할을 하는 것으로 나타났으며, 이는 이러한 공격이 본질적으로 다소 기회주의적임을 나타냅니다.”
2. 랜섬웨어 결제가 2023년에 급증
블록체인 분석 회사인 Chainalysis의 최근 보고서에 따르면 랜섬웨어 활동은 이전 기록을 깨는 추세에 있으며, 연구원들은 대규모와 소규모의 성공적인 몸값 결제 수가 전반적으로 증가하는 것을 관찰하고 있습니다.
랜섬웨어가 두드러집니다
보고서에 따르면 랜섬웨어는 올해 증가한 유일한 암호화폐 범죄 범주이며, 해킹, 사기, 멀웨어, 남용 자료 판매, 사기 가게 및 다크넷 시장 수익을 포함한 다른 모든 항목은 급격한 감소를 기록했습니다.
제목에 대한 BleepingComputer 문서에서:
“랜섬웨어는 2023년 현재까지 증가한 암호화폐 기반 범죄 의 한 형태입니다. 체인 분석 보고서를 읽습니다. "In fact, ransomware attackers are on pace for their second-biggest year ever, having extorted at least $449,1 million through June."
또한 2023 년의 연간 누적 랜섬웨어 매출은 상반기 총 2022 개 수치의 90%에 달했습니다.
Outlook
The report claims that if the current revenue growth pace continues, ransomware actors will make just short of $900 million from victims in 2023, just below 2021's record figure of $940 million.
Chainalysis의 연구자들은 이러한 가파른 수익 증가의 원동력은 기록적인 금액을 지불할 수 있는 대규모의 고부가가치 조직을 적극적으로 표적으로 삼는 갈취범과 랜섬웨어 가족들과 함께 “대규모 게임 헌팅”이라고 주장합니다.
팩의 리더
According to Chainalysis, BlackBasta, LockBit, ALPHV/Blackcat, and Cl0p top the list of the primary recipients of big-sum payments, with Cl0p boasting an average payment size of $1,7 million and a median payment figure of $1,9 million.
특히, Cl0p 은 파일 전송 도구에서 발견된 두 가지 제로데이 취약점을 악용하는 두 가지 대규모 공격 파도를 담당합니다. Fortra의 GoAnywhere 는 올해 1분기, Progress의 MOVEit Transfer 는 2분기입니다.
BleepingComputer에서:
실제로 129 건의 공격과 관련된 Clop의 GoAnywhere 캠페인2023년 3월 은 당시 NCC 그룹이 보고한 바와 같이 기록적인 달을 만들었습니다. MOVEit 공격 파도는 이미 더 커졌고, 지금까지 296 victims개로 집계되었으며, 매주 Clop의 갈취 사이트에 더 많이 공개되었습니다.
또한 Chainalysis는 “ H1 2023 의 성장 추세는 스펙트럼의 다른 쪽에서도 관찰할 수 있으며, Dharma, Phobos 및 STOP/DJVU와 같은 ‘스프레이 앤 스프레이’ 랜섬웨어 서비스형(RaaS) 운영에 대한 소규모 랜섬웨어 결제는 수백 달러에 대해 피해자에게 협박하고 있습니다.”라고 설명합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“강탈에 굴복하려는 조직의 수가 매년 감소하는 것은 사이버 범죄자들이 대규모 게임 헌팅으로 돌아가고 위협 범죄자들이 몸값을 늘리는 데 기여하는 요인이 될 가능성이 높습니다.”
“후자는 아마도 갈취자 그룹과 랜섬웨어 패밀리가 지불을 거부하는 회사로부터 발생하는 금전적 손실을 보상하기 위한 전략적 시도일 것입니다.”
3. Big Head 랜섬웨어가 가짜 Windows 업데이트 경고 표시
트렌드마이크로는 최근에 Big Head로 알려진 랜섬웨어 균주를 해체했습니다. 랜섬웨어는 가짜 Windows 업데이트 및 Microsoft Word 설치 관리자를 홍보하는 부정 전환을 통해 확산되는 것으로 보고되었습니다.
첫 번째 샘플
Big Head의 첫 번째 샘플은 .NET 컴파일 바이너리 파일을 특징으로 했습니다. 바이너리는 CreateMutex를 사용하여 뮤텍스 이름 “8bikfjjD4JpkkAqrz” 을 확인하고 발견되면 자체적으로 종료됩니다.
또한 샘플에는 설치 프로세스와 관련된 세부 정보가 포함된 구성 목록도 있었습니다. 레지스트리 키 생성, 특정 파일의 존재 확인 및 필요한 경우 덮어쓰기, 시스템 파일 속성 설정 및 레지스트리 자동 실행 항목 생성 등 다양한 작업을 지정했습니다.
연구자들은 1.exe, archive.exe, Xarch.exe를 포함한 세 가지 리소스가 존재한다고 언급했다. 1.exe는 전파를 위해 자체 사본을 삭제합니다. Archive.exe는 공격자의 챗봇 ID와 통신을 설정하는 책임을 지는 텔레그램 봇을 삭제합니다. Xarch.exe는 파일을 암호화하고 피해자에게 가짜 Windows 업데이트를 표시하는 랜섬웨어 조각을 배포합니다.
바이너리
- 1.exe: 이 파일은 콘솔 창을 숨기고 자동 실행 레지스트리 키를 생성하여 시작 시 자동으로 실행됩니다. 또한 자체 복사본을 만들어 <%localappdata%> 폴더에 discord.exe로 저장합니다.
그러면 빅헤드 랜섬웨어가 피해자의 ID를 확인합니다. 존재하는 경우 콘텐츠를 읽게 되며, 그렇지 않은 경우 무작위로 생성된 40자 문자열을 생성하여 파일에 감염 마커 유형으로 기록하여 피해자를 식별합니다.
연구자들은 또한 랜섬웨어가 데스크톱, 하위 디렉터리 및 %appdata% 폴더에 랜섬웨어 노트를 드롭하기 전에 섀도우 사본 및 백업을 삭제하는 것을 관찰했습니다. 또한 Big Head 랜섬웨어는 시스템의 배경화면을 변경합니다. 마지막으로, 랜섬웨어는 브라우저를 열고 악성코드 개발자의 Telegram에 액세스하기 위한 명령을 실행합니다.
- Teleratserver.exe: 이것은 텔레그램을 통해 공격자와 피해자 간의 통신 채널 역할을 하는 64비트 Python 컴파일 바이너리입니다. “시작”, “도움말”, “스크린샷” 및 “메시지” 명령을 수락할 수 있습니다.
- BXluSsB.exe: 이 악성코드는 피해자를 속여 활동이 합법적인 소프트웨어 업데이트 프로세스의 일부라고 생각하도록 가짜 Windows 업데이트 UI를 표시합니다.
사용자의 시스템 언어가 러시아어, 벨라루시어, 우크라이나어, 카자흐어, 키르기즈어, 아르메니아어, 조지아어, 타타르 및 우즈베크 국가 코드와 일치하는 경우 멀웨어는 자체적으로 종료됩니다. 또한 작업 관리자를 비활성화하여 피해자가 프로세스를 종료하지 못하도록 합니다. 그런 다음 이 악성코드는 자체 사본을 생성하여 RunOnce 레지스트리 키에 항목을 설정하는 숨겨진 폴더에 드롭합니다.
이 악성코드는 지정된 하위 문자열 목록이 포함된 디렉터리에서 파일을 암호화하지 않으며 특정 확장자가 있는 파일만 암호화합니다. 또한 악성코드는 지정된 프로세스 목록을 종료합니다.
샘플 2
Big Head의 두 번째 샘플은 랜섬웨어와 스텔러 행동을 모두 보여줍니다. 기본 파일이 삭제되고 runyes.crypter.bat, azz1.exe 및 server.exe의 세 가지 파일이 실행됩니다.
랜섬웨어 활동은 runyes.cryper.batt 및 azz1.exe가 수행하는 반면 server.exe는 도용을 위한 정보를 수집할 책임이 있습니다. 첫 번째 샘플과 마찬가지로 이 샘플은 피해자의 데스크톱 배경화면을 변경합니다.
샘플 3
이 샘플에는 트렌드마이크로가 체인에서 Neshta로 식별한 파일 감염자가 포함되어 있습니다. Neshta는 악성 코드를 감염시키고 실행 파일에 삽입하도록 설계되었습니다.
또한 Neshta를 랜섬웨어 배포에 통합하면 최종 랜섬웨어 페이로드를 위한 카무플라주 기법이 될 수 있으며, 분석가가 랜섬웨어인 실제 위협을 탐지하지 못하도록 잠재적으로 우회할 수 있습니다.
위협 범죄자 정보
몸값 메모는 악성코드 개발자가 이메일과 텔레그램을 사용하여 피해자와 통신하고 있음을 나타냅니다.
Telegram 사용자 이름을 탐색한 후 연구자들은 연결된 YouTube 계정을 찾을 수 있었습니다. 이 계정은 올해 4월에 가입한 비교적 새로운 계정이며 총 12 개의 공개 비디오가 있습니다. 이 동영상은 트렌드마이크로가 관찰한 악성코드의 데모를 보여줍니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“빅 헤드는 매우 정교한 랜섬웨어 스트레인은 아니지만, 야생의 여러 변종은 크리에이터가 이를 개발하고 개선하기 위해 적극적으로 노력하고 있음을 나타냅니다.”
“트렌드 마이크로는 관련된 비트코인 지갑 기록을 보고 2022로 거슬러 올라가는 거래를 찾았습니다. 현재 이러한 트랜잭션이 무엇인지 또는 관련 공격이 무엇인지에 대한 추가 세부 정보는 없습니다. 그러나 이는 이 공격자가 이전에 몇 가지 경험을 가지고 있을 수 있음을 의미합니다.”
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
