이번 주 첫 번째 주에는 2022년 상반기부터 가장 눈에 띄는 사이버 범죄 동향을 살펴보는 것이 있는데, 여기에는 인간의 표적 및 조작에 크게 의존하는 비즈니스 이메일 침해(BEC) 공격 (새 탭에서 열림)의 증가가 포함됩니다. 다음으로 Bumblebee 악성코드 로더의 최신 진화와 관련 봇넷을 분석합니다. 마지막으로, 우리는 GitHub 스캠 저장소의 출현에 대한 보고서로 끝납니다. 이 보고서에서 사이버 범죄자들은 의심되는 국가 지원 APT에 의해 ProxyNotShell 제로데이의 발견 및 보고된 악용에 의해 생성된 업계 전반의 버즈를 수익화하려고 시도하고 있습니다.
1. 암호화 공격 없이 갈취 추세가 증가하고 있음을 나타내는 BEC 공격의 급증
Arctic Wolf는 최근 “1H 2022 사고 대응 인사이트 (새 탭에서 열림)” 보고서를 발표했습니다. 다음은 몇 가지 주요 요점입니다.
- 공격자 그룹의 랜섬웨어 수요 중앙값은 450.000달러로, 기술 및 운송/물류 산업이 글로벌 중앙값의 두 배 이상을 요구합니다.
- 인적 요소는 공격자가 악용할 수 있는 일반적인 공격 경로이지만, 침해 사고의 80% 이상은 패치되지 않은 취약성 또는 원격 액세스 도구의 악용에 의해 발생합니다.
- 널리 공개된 ProxyShell 및 Log4J 개의 취약점과 관련된 사고는 조직이 중간 사고보다 2배 더 많은 비용이 듭니다.
BEC 상승 및 MFA 부족과의 관계
Arctic Wolf의 데이터는 해커가 빈도가 높아질수록 “암호화 없이 갈취” 체계로 전환함에 따라 사이버 범죄자들 사이에서 랜섬웨어에서 벗어나는 변화를 시사합니다. 위협 환경의 가장 중요한 변화 중 하나는 2022년 2분기에 관찰된 BEC 공격의 성공적인 수입니다.
Arctic Wolf에 따르면 BEC 사례는 조사한 모든 사고 대응 사례에 기여한 것으로 보였을 때 올해 2분기에 두 배 이상 증가했으며, 이는 2022년 1분기의 17%에 비해 모든 사례의 34%를 차지했습니다. 비즈니스 서비스, 법률/정부 및 재무/보험은 이러한 공격 유형으로 고통받는 조직의 수가 크게 증가했습니다. 걱정스럽게도 데이터에서 튀어나온 공통 스레드는 영향을 받는 조직의 80%가 다중 인증(MFA)이 부족했습니다.
BEC 공격이 급증하는 이유
사람을 속이는 데 초점을 맞춘 소셜 엔지니어링 공격 (새 탭에서 열림) 은 종종 이메일 및 기타 방어 보안 솔루션을 우회할 수 있습니다. 경우에 따라 하드웨어 또는 소프트웨어 취약점을 활용하려는 공격보다 더 성공적입니다.
이는 외부 취약성이 중요한 역할을 하지 않는다는 의미가 아닙니다. 실제로, Abnormal Security는 올해 초 위협 보고서 (새 탭에서 열림) 에서 모든 사이버 범죄 사고의 대부분(81%)이 Microsoft의 Exchange 서버 및 VMware의 Horizon 가상 데스크톱 소프트웨어와 같은 몇 가지 고도로 표적화된 제품의 외부 취약성과 Microsoft의 RDP(원격 데스크톱 프로토콜)와 같이 구성이 불량한 원격 서비스와 관련이 있음을 발견 했습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
\"몇 가지 주목할 만한 랜섬웨어 관련 세부 정보를 보고하는 것 외에도 Arctic Wolf의 1H 2022 Incident Response Insights ' (새 탭에서 열림) 보고서는 인텔리전스 회사에서 발생하는 랜섬웨어 추세가 충돌하는 코코포니에 목소리를 내는 것을 크게 피합니다.'
일부 통계는 그 어느 때보다 더 많은 사고가 수반되는 추세를 지원하지만, 다른 통계 는 보고된 랜섬웨어 공격의 상당한 감소를 나타내는 것으로 알려졌습니다.
“Arctic Wolf의 최신 결과를 고려할 때, 포괄적인 피싱 및 사회 공학 인식 및 교육 교육 프로그램의 중요성을 과장하는 것은 불가능합니다. 또한, 가장 현실적인 방법으로, 사람들이 연습 중에 가장 가능성이 높은 진입점을 나타내는 최신 사이버 공격을 모방하는 것도 좋습니다.
그 외에, 위에 언급된 것과 같은 보고는 재무적 또는 평판적으로 중요한 조직을 무릎에 묶는 가장 정교한 악성코드 또는 TTP가 항상 아니라는 또 다른 모닝콜로 작용해야 합니다.”
2. 멀웨어 업데이트: 인기 있는 Bumblebee 멀웨어 로더가 새로운 기능을 구현하고 TTP를 발전시킵니다
인기 있는 Bumblebee 악성코드 로더는 이번에 Check Point의 끊임없이 진화하는 악성코드에 대한 새로운 분석 (새 탭에서 열림) 의 형태로 헤드라인을 다시 한 번 만들었습니다.
Bumblebee 멀웨어 로더 정보
Bumblebee는 BazarLoader를 위협 범죄자가 랜섬웨어 감염을 개시하기 위해 사용하는 상위 '전구자' 악성코드 균주 중 하나로 대체하여 QBot, Emotet 및 TrickBot과 같은 가계 이름 중에서 적절한 위치를 차지했습니다.
Bumblebee가 그 사다리를 오르는 데 걸리는 시간은 그다지 놀랍습니다. 이전에 보고된 바와 같이 Bumblebee의 성공은 주로 일반적으로 전달되는 스피어 피싱 이메일 (새 탭에서 열림) 의 정교함으로 인한 것입니다. 이는 잘 알려진 초기 액세스 브로커와의 멀웨어 링크와 관련이 있을 수 있는 이론입니다.
Bumblebee 멀웨어 로더 업데이트
Check Point의 최신 연구에 따르면 2022 년 봄에는 Bumblebee 악성코드 로더가 등장하는 활동이 크게 증가했습니다.
Bumblebee 멀웨어 로더는 이미 여러 잘 알려진 멀웨어 패밀리에 대한 명백한 링크로 인해 정보 보안 커뮤니티의 철저한 조사의 대상이 되었습니다. (새 탭에서 열림)
Check Point는 몇 가지 주요 요점을 제시합니다.
- Bumblebee는 지속적으로 진화하고 있으며, 이는 로더 시스템이 ISO 형식 파일 사용부터 PowerShell 스크립트가 포함된 VHD 형식 파일에 이르기까지 며칠 동안 두 번 급격한 변화를 겪었다는 사실로 가장 잘 입증됩니다.
- 주변에서 발생한 Bumblebee 서버의 행동 변화는 공격자가 악성코드 에 대한 광범위한 테스트에서 최대한 많은 피해자에게 다가가는 것으로 초점을 전환했을 수 있음을 2022년 6월 나타냅니다.
- 위협에는 group_name이라는 필드가 포함되어 있지만 클러스터링 관련 활동에 대한 좋은 지표는 아닐 수 있습니다. group_name 값이 다른 샘플은 유사한 동작을 나타내며, 이는 많은 group_names를 운영하는 단일 공격자를 나타낼 수 있습니다. 암호화 키 의 경우에도 마찬가지입니다. 다른 암호화 키는 일반적으로 예상대로 다른 동작을 내포합니다.
- Bumblebee 페이로드는 피해자 유형에 따라 크게 다릅니다. 감염된 독립 실행형 컴퓨터는 은행 트로이 목마나 인포스텔러에게 피해를 줄 가능성이 높은 반면, 조직 네트워크는 CobaltStrike와 같은 고급 사후 악용 도구에 피해를 입을 것으로 예상할 수 있습니다.
Check Point의 보고서는 최근에 관찰된 Bumblebee 활동의 특정 특이한 특성(예: 해당 네트워크에서 첫 번째 client_id를 수신한 후 조직의 외부 IP에서 client_id 제출을 생성하는 감염된 호스트와의 통신을 중지하는 C2 개의 서버)으로 인해 연구원들이 “조직 내 여러 대의 컴퓨터가 동일한 공용 IP로 인터넷에 액세스한 경우, C2 서버는 감염된 첫 번째 컴퓨터만 수락한다”는 결론을 내리게 되었다고 언급하고 있습니다.
흥미롭게도 이 기능은 몇 주 전에 갑자기 꺼졌고 감염된 호스트에 대한 연결 수가 크게 증가했습니다. 이 기능을 달성하기 위한 목적은 여전히 모든 사람의 추측이지만, 집중 테스트 기간 동안 활성화되었을 가능성이 높습니다.
이 이상한 행동은 Check Point Research가 실행된 다양한 환경에서 Bumblebee의 행동을 모니터링하도록 유도했습니다. 모두 이러한 갑자기 연결된 IP 주소를 가리키는 것으로 보이며, 이는 실제로 모든 Bumblebee 연결이 릴레이되는 메인 C2 서버의 전면 역할을 합니다(예: 일반적인 Botnet 동작).
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“Check Point의 연구원들이 수행한 심층 분석은 감염 체인의 변경 사항과 활성 피해자 수를 크게 확대하고 전체 트래픽 수를 C2 개 증가시키도록 설계된 봇넷 활동을 설명하여 Bumblebee 지식 베이스에 추가하는 동시에 역량을 지속적으로 업데이트하는 데 중점을 두었다고 이미 알고 있는 위협에 대한 명확한 그림을 그립니다.”
“Bumblebee는 자체적인 패커뿐만 아니라 방대한 수의 피해자 장치에 배포하는 멀웨어 샘플에 자체 패커를 사용하여 다른 타사 패커 및 회피 도구와 차별화되는 고유하고 신뢰할 수 있는 위협으로 남아 있습니다. 이것은 Bumblebee가 다른 최상위 전구체 멀웨어 제품군에서 선택했을 수 있는 특성이지만, 행동을 변경하고 새로운 환경에 적응하는 데 있어 훨씬 더 큰 효과와 훨씬 더 큰 유연성을 제공합니다.”
3. GitHub에서 판매하기 위한 Fake Microsoft Exchange ProxyNotShell 익스플로잇
사이버 보안 블로그 BleepingComputer에 게시된 10월 3일 기사에 따르면, 위협 범죄자들은 보안 연구원을 사칭하여 가짜 개념 증명 ProxyNotShell 익스플로잇을 판매함으로써 ProxyNotShell이라고 하는 Microsoft 제로데이 취약점 (새 탭에서 열림) 쌍을 둘러싼 버즈를 활용하고 있습니다.
GitHub - @LawrenceAbramshttps://t.co/N5E15T43nO
— BleepingComputer(@BleepinComputer)에서 판매하기 위한 Fake Microsoft Exchange ProxyNotShell 익스플로잇 2022년 10월 3일
ProxyNotShell이란 무엇입니까?
ProxyNotShell은 Microsoft가 (새 탭에서 열림) 설명하는 \"Microsoft Exchange Server 2013, Exchange Server 2016 및 Exchange Server 2019에 영향을 미치는 제로데이 취약성 보고 2개\"를 나타냅니다. 첫 번째는 CVE-2022-41040로 식별되는 서버 측 요청 위조(SSRF) 취약점이며, 두 번째는 CVE-2022-41082로 식별되는 반면 Exchange PowerShell은 공격자가 액세스할 수 있을 때 원격 코드 실행(RCE)을 허용합니다.”
베트남 사이버 보안 의상 GTSC의 보안 연구원들이 한 쌍의 보안 결함을 처음 발견한 것으로 보고되었고, 신뢰할 수 있는 오랜 CTI 소스 Kevin Beaumont (새 탭에서 열림)가 저명한 보안 연구원으로 작성한 기사에서 (새 탭에서 열림) 감탄스럽게 요약되었습니다. 9월 29일
ProxyNotShell 공격에서 의심되는 국가 제휴 APT 그룹
전 세계 10 개 미만의 조직에서 ProxyNotShell 결함을 표적으로 하는 공격이 관찰된 것으로 주장하는 Microsoft의 Threat Intelligence Center(MSTIC)는 해당 활동이 국영 APT 그룹의 작업일 가능성이 높다는 중간 신뢰도로 평가했습니다.
아무도 나오지 않았고 특히 공격자 또는 국가가 이 활동을 한다고 생각하지 않았지만, 공격자들은 공격 주기에서 제로데이 쌍을 연결해 침해된 서버에 China Chopper 웹 셸을 배포하여 지속성을 높이고, 데이터 도난을 촉진하고, 측면 이동을 가능하게 하는 것이 관찰되었습니다.
연구자들은 GitHub 저장소를 사기 악용 활동의 사이트로 식별했습니다
우리가 자주 관찰했듯이, 이와 같은 이야기가 전체 인포섹 커뮤니티의 관심을 끌 때마다, 모든 줄무늬의 사이버 범죄자들은 사고와 그 후속 전개 상황을 둘러싼 버즈를 수익을 창출하려고 빠르게 시도합니다. 이는 종종 당면한 문제와 관련된 미끼를 특징으로 하는 피싱 캠페인 으로 나타납니다. ProxyNotShell을 사용하면 약간 다른 것을 볼 수 있습니다.
Huntress Labs의 연구원인 John Hammond는 Exchange CVE-2022-41040 및 CVE-2022-41082 취약점에 대한 가짜 POC 익스플로잇을 가짜로 만들려고 시도하는 다양한 GitHub 저장소를 만드는 데 바빴던 한 특정 사기꾼의 활동을 주시 했습니다. 심지어 POC의 합법성의 출현을 증가시키려는 혹독한 시도로 여러 개의 사본을 제공했습니다.
이 중 여러 가지가 있는 것으로 보입니다. 또 다른 하나는 SatoshiDisk 링크가 있고 “5개 사본만 판매”하는 것입니다.... 스캠 메싱크입니다. 여러 파일이 더 합법적으로 보입니까? 계정 및 저장소를 GitHub에 보고했습니다. https[:]//github[.]com/TimWallbey/CVE-2022-41082-RCE https://t.co/BVvi0gtZqN pic.twitter.com/jrprZLYmct
— John Hammond(@_JohnHammond) 2022년 9월 30일
또 다른 예에서, Paulo Pacheco가 발견한 사기 계정 (새 탭에서 열림)은 CTI의 Kevin Beaumont를 가장했습니다. 이는 의심할 여지 없이 새로운 Exchange 취약성과 사용 가능한 완화 조치를 지칠 필요 없이 문서화해 온 이 잘 알려진 보안 연구원의 평판을 얻기 위한 노력입니다.
이러한 GitHub 저장소에는 무엇이 포함되어 있습니까?
BleepingComputer에서:
“리포지토리 자체에는 중요한 것이 없지만, README.md 새로운 취약성에 대해 현재 알려진 사항을 설명한 후 0일 동안 PoC 익스플로잇 사본 하나를 판매하는 방법에 대한 피치가 이어집니다.”
이는 사용자와 잠재적으로 보안 팀이 이를 눈치채지 못할 수 있음을 의미합니다. 이러한 강력한 도구는 완전히 공개되어서는 안 되며, REAL 연구원이 사용할 수 있도록 1개의 사본만 엄격하게 사용할 수 있습니다. hxxps://satoshidisk[.]com/pay/xxx,’는 스캠 저장소에서 텍스트를 읽습니다.”
스캠 POC 익스플로잇은 현재 0,01825265 비트코인이라는 낮은 가격으로 판매되고 있으며, 약 420,00 달러에 상당합니다(실제 POC보다 훨씬 적은 가치가 있으며, 다른 조직보다 훨씬 적은 양이 Microsoft Exchange RCE 제로데이를 생산할 수 있는 조직에게 배포되고 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“ProxyNotShell 결함과 관련된 기술적 세부 사항을 찾기 어렵기 때문에 합법적인 POC가 표시되기 전에는 시간이 지나지 않습니다. 실제로 다양한 소스는 취약점의 공개와 약 10-14 일 동안 POC 익스플로잇의 출현 사이의 평균 시간을 둡니다. 이러한 이유로 CTI는 우리가 익히는 순간과 같이 중요한 제로데이를 목표로 설계된 POC 익스플로잇의 출현에 대한 능동적 검색을 생성하고 유지하는 사전 조치를 취합니다.”
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
