이번 주 첫 번째 라운드업에서는 러시아 연방 보안 서비스(FSB) 센터 16 에서 가장 정교한 사이버 스파이 도구로 기술되는 Snake 멀웨어에 대한 획기적인 공동 사이버 보안 권고를 살펴봅니다. 다음으로, CTI는 메타 보고서를 분석하여 플랫폼 전반에서 ChatGPT로 위장하는 악성코드의 증가를 드러냅니다. 마지막으로, CTI는 Microsoft 365을 사용하는 조직을 대상으로 하는 Greatness라는 새로운 서비스형 피싱(PhaaS) 플랫폼을 자세히 설명하는 Cisco Talos 위협 자문에 대해 조사합니다.
1. CISA, 스네이크 악성코드 운영을 자세히 설명하는 공동 사이버 보안 자문 발표
사이버 보안 및 인프라 보안 기관(CISA)은 DoJ, FBI, NSA, USCYBERCOM의 사이버 국가 임무 포스(CNMF), 영국의 국가 사이버 보안 센터(NCSC), 호주의 호주 사이버 보안 센터(ACSC), 캐나다 사이버 보안 센터 및 뉴질랜드의 국가 사이버 보안 센터가 공동 저술한 공동 사이버 보안 보고서를 발표했습니다.
이 보고서는 “러시아 연방 보안 서비스 (FSB) 센터 16 이 설계하고 사용하는 가장 정교한 사이버 스파이 툴”로 설명된 스네이크 악성코드(새 탭에서 열림)에 대한 상당한 배경 정보를 제공합니다.
후속 NSA 및 DoJ 보도 자료는 Snake의 운영 인프라를 식별하고 중단하기 위한 위에 나열된 조직의 기관 간 노력을 설명합니다.
스네이크 멀웨어란 무엇입니까?
BleepingComputer에 따르면, Snake는 Uroburos (새 탭에서 열림)라는 이름으로 처음 추적되었으며, 개발은 빠르면 2003 년 후반에 시작되고 임플란트의 첫 번째 최종 버전은 내년 초에 마무리되는 것으로 보고되었습니다. 러시아의 국가 지원 해커에 기인한 악성코드를 특징으로 하는 스파이 공격이 곧 뒤따랐습니다.
CISA는 Snake의 세 가지 주요 측면에 세련미를 부여합니다.
- 스네이크는 호스트 구성 요소 및 네트워크 통신에서 희귀한 수준의 스텔스를 달성합니다.
- Snake의 내부 기술 아키텍처를 통해 새 구성 요소 또는 교체 구성 요소를 쉽게 통합할 수 있습니다. 이는 또한 다른 호스트 운영 체제에서 실행되는 Snake 인스턴스의 개발 및 상호 운용성을 용이하게 합니다. 저자들은 Windows, MacOS 및 Linux 운영 체제를 대상으로 설계된 상호 운용 가능한 Snake 임플란트를 관찰했습니다.
- Snake는 신중한 소프트웨어 엔지니어링 설계 및 구현을 보여줍니다. 임플란트에 버그가 거의 없습니다.
임플란트의 상당한 효과에 더해 FSB 개발자는 Snake의 전술, 기법 및 절차(TTP)에 대한 오픈 소스 보고에 대응하여 새로운 기능과 기법을 신속하게 구현할 수 있습니다.
공동 자문의 저자들은 스네이크의 지속적인 수정을 스네이크의 식별 및 수집과 관련 아티팩트에 대한 반복되는 장애물로 꼽았습니다. 궁극적으로 호스트 및 네트워크 기반 방어 도구를 활용하기 위해 신뢰할 수 있는 탐지를 생성하기 위한 모든 심각한 노력에 감쇠를 쏟고 있습니다.
스네이크만큼 효과적이고 놀랍게도 오래 지속되는 사이버 스파이 임플란트를 만드는 것은 주로 장기적인 스텔스를 유지하는 능력에 달려 있습니다. 이 칼리버의 멀웨어는 귀중한 인텔리전스에 대한 일관된 액세스를 제공하고 수집/여과를 용이하게 하기 위해 수개월 또는 수년 동안 탐지되지 않은 표적 유지 캠페인을 위해 설계되었습니다.
이를 고려할 때, Snake는 FSB 이니셔티브가 결정한 “고유하게 정교한” 결과이며, 인텔리전스 요구 사항(IR)을 지원하기 위해 무기한으로 고부가가치 표적에 대한 은밀한 액세스를 가능하게 하기 위해 최선을 다하고 있습니다.
스네이크 멀웨어의 책임자는 누구입니까?
공동 자문의 공동 저자는 Snake 운영이 “FSB의 Center 16 내에 알려진 단위”라고 간주합니다.
스네이크 외에도 이 유닛은 러시아의 악명 높은 위협 그룹인 Turla에 속하는 것으로 여겨지는 툴셋의 다양한 다른 요소에 대한 액세스를 자랑한다고 합니다. 스네이크는 도구 세트에 일상적으로 등장하여 임플란트가 FSB의 현대적인 사이버 운영의 여러 측면에 미치는 상당한 영향을 입증했습니다.
권고는 스네이크가 FSB의 후원 하에 장치가 운영되는 한 거의 오랫동안 Center 16’s 운영의 핵심 구성 요소를 대표했다고 주장합니다.
스네이크 악성코드 피해자학
조사 중에 운영과 관련된 인프라는 미국과 러시아를 포함하여 북미, 남미, 아프리카, 유럽, 아시아 및 호주 전역의 50 개국 이상에서 발견되었습니다.
교육, 민간 비즈니스, 미디어 및 정부 시설, 금융 서비스, 제조 및 통신과 같은 중요 인프라로 지정된 부문을 포함하여 여러 수직적 부문에 걸친 미국 기반 조직이 영향을 받았습니다.
공동 자문에서:
Snake는 모든 산업에서 인프라를 활용하지만, 타겟팅은 본질적으로 목적적이고 전술적입니다. 예를 들어, 감염된 시스템이 스네이크 통신에 응답하지 않은 경우 FSB 공격자는 며칠 내에 전략적으로 다시 감염시킵니다. 전 세계적으로 FSB는 Snake를 사용하여 정부 네트워크, 연구 시설 및 저널리스트와 같은 우선순위가 높은 표적에서 민감한 인텔리전스를 수집했습니다.
뱀 방법론
진술서 (새 탭에서 열림) 및 수색 영장 (새 탭에서 열림) 에 따르면 미국 정부 기관은 지난 20 년 동안 스네이크 및 스네이크 관련 멀웨어 및 운영을 모니터링해 왔으며, 이는 러시아의 FSB 시설에서 스네이크를 배포한 Turla 해커를 면밀히 관찰하는 것을 포함했습니다.
이러한 공동 이니셔티브 및 기타 공동 이니셔티브는 스네이크의 아키텍처뿐만 아니라 임플란트를 특징으로 하는 작업 중에 사용되는 기타 도구와 TTP에 대한 상당한 통찰력을 제공했습니다.
공동 자문에서:
FSB는 일반적으로 네트워크의 외부 대면 인프라 노드에 Snake를 배포하며, 내부 네트워크에서 다른 도구와 TTP를 사용하여 추가 악용 작업을 수행합니다. 대상 네트워크로의 진입을 획득하고 시멘트화하면 FSB는 일반적으로 네트워크를 열거하고 관리자 자격 증명을 획득하고 도메인 컨트롤러에 액세스합니다. 키로거, 네트워크 스니퍼 및 오픈 소스 도구를 포함하여 네트워크 전반에 걸쳐 측면으로 확장하기 위해 사용자 및 관리자 자격 증명을 수집하는 데 다양한 메커니즘이 사용되었습니다.
이전 네트워크 정찰을 수행하는 FSB 해커는 네트워크를 매핑하고 대상 도메인에 필요한 자격 증명을 획득하여 운영을 활성화합니다.
스네이크는 인텔리전스 수집 도구로서 매우 효과적이어서 운영자가 추가적인 “중경량” 임플란트를 사용하는 일은 드물었습니다. 대신 스네이크의 대화형 기능을 용이하게 하기 위해 가벼운 내부 원격 액세스 도구와 가끔씩 사용되는 작은 원격 리버스 셸에 주로 의존했습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“그 외에는, 다국적 사이버 보안 및 법 집행 기관 팀이 Snake의 글로벌 멀웨어 인프라를 압수하는 것을 다루는 공동 자문 및 다양한 보도 자료 (새 탭에서 열림) 에 포함된 발표 내용은 두 가지를 명확하게 상기시켜 줍니다.
- 첫째, 러시아의 국가 후원 해커와 멀웨어 개발자는 현재 운영 중인 많은 상위 소프트웨어 생산업체와 비교할 수 있는 수준으로 운영됩니다. 이는 스네이크의 복잡성, 지속성 및 최고의 효율성에서 분명합니다.
- 둘째, 미국 인텔리전스 커뮤니티가 외국의 토양에서 운영하는 사이버 범죄자(국가 지원 또는 기타)에게 보다 공격적인 입장을 취하고 있다는 것은 분명합니다.”
2. 해커는 ChatGPT 미끼를 사용하여 Facebook에 멀웨어를 퍼뜨립니다
Facebook의 모회사 Meta는 플랫폼 전반에서 ChatGPT로 위장하는 멀웨어의 증가 (새 탭에서 열림)를 관찰 하고 있습니다.
년부터 2023년 3월Meta의 보안 팀은 ChatGPT 및 기타 AI 관련 테마를 사용하여 멀웨어를 전달하는 10 개의 멀웨어 패밀리 를 발견했습니다. 이러한 멀웨어 패밀리에는 Ducktail 및
악성 브라우저 확장, 광고 및 다양한 소셜 미디어 플랫폼을 통해 NodeStealer 및 표적 피해자.
다음은 몇 가지 주요 요점입니다.
- 지난 몇 달 동안 Meta는 ChatGPT 및 AI 관련 기능에 대한 인구의 관심을 활용하고 있는 여러 악성코드 균주에 대해 조사하고 조치를 취했습니다. Meta가 관찰한 최신 시도는 Facebook 그 이상을 대상으로 했으며 Dropbox, Google Drive, Mega, MediaFire, Discord, Atlassian의 Trello, OneDrive 및 iCloud와 같은 파일 공유 서비스를 포함하여 멀웨어를 호스팅했습니다.
- Meta가 관찰한 한 사례에서, 공격자는 ChatGPT 기반 도구를 제공한다고 주장하는 공식 웹 스토어에서 사용할 수 있는 악성 브라우저 확장자를 생성했습니다. 그런 다음 이러한 브라우저 확장은 소셜 미디어 사이트 및 후원된 검색 결과를 통해 홍보되어 피해자를 속여 멀웨어를 다운로드하도록 합니다.
- 경우에 따라 확장에는 멀웨어와 함께 합법적인 ChatGPT 기능이 포함되었습니다. 이에 대응하여 Meta는 1,000개 이상의 고유한 ChatGPT 테마 악성 URL이 플랫폼에서 공유되는 것을 차단했습니다.
Ducktail 멀웨어란 무엇입니까?
덕테일 악성코드는 꽤 오랫동안 사용되어 왔으며 브라우저 쿠키를 훔치고 인증되지 않은 Facebook 세션을 활용하도록 설계되었습니다. 또한 LinkedIn을 표적으로 삼아 피해자가 멀웨어를 다운로드하도록 소셜 엔지니어링하고 파일 호스팅 서비스를 활용하여 멀웨어를 호스팅합니다.
Meta는 수년 동안 Ducktail의 다양한 반복을 추적하고 차단해 왔습니다. 최신 버전에서 Ducktail 운영자는 공격자가 작업 속도를 높이기 위해 보낸 광고 관련 작업 요청에 대한 비즈니스 관리자 권한을 자동으로 부여하기 시작했습니다.
NodeStealer 멀웨어 균주는 무엇입니까?
Meta는 최근에 NodeStealer라고 알려진 새로운 악성코드 균주를 발견하고 파괴했습니다. 년에 2023년 1월보안 팀은 Windows 장치의 인터넷 브라우저를 표적으로 하는 악성코드를 관찰했으며, 목표는 쿠키와 저장된 사용자 이름/암호를 훔치는 것입니다. NodeStealer는 베트남어로 알려진 맞춤형 JavaScript 악성코드입니다.
Meta는 NodeStealer를 배포한 후 2주 이내에 이를 중단시키는 조치를 취했습니다. 이들은 이러한 위협 범죄자들이 표적으로 삼은 제3자 등록 기관, 호스팅 제공업체 및 애플리케이션 서비스에 여러 건의 테이크다운 요청을 제출했습니다. Meta에 따르면 이러한 작업은 악성코드를 성공적으로 중단시켰습니다.
일반적으로 NodeStealer는 적절한 합법적인 아이콘과 파일 이름이 있는 위장된 PDF 또는 Excel 파일로 전달되어 사람들이 악성 파일을 열도록 속입니다.
이의 목표는 Chromium 기반 브라우저에서 저장된 암호 및 쿠키 세션 정보를 훔치는 것입니다. 이 악성코드는 이 정보를 위해 Chrome, Opera, Microsoft Edge 및 Brave 브라우저를 대상으로 합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“ ChatGPT 및 AI 관련 기술에 대한 대중의 관심은 계속 증가하고 있으며, 이로 인해 위협 범죄자들은 이처럼 증가하는 관심을 활용하기 위해 열심히 노력하고 있습니다.”
“Meta는 NodeStealer 멀웨어 패밀리를 중단시켰다고 주장하며, 이는 확실히 긍정적이지만 다음 ChatGPT 관련 사이버 활동이 발생할 때까지는 시간이 지나지 않습니다.”
3. 새로운 서비스형 피싱 도구가 일반에 나타납니다
Cisco Talos는 Greatness라는 새로운 서비스형 피싱(PhaaS) (새 탭에서 열림) 플랫폼을 자세히 설명하는 위협 권고를 발표했습니다.
이 플랫폼은 Microsoft 365을 사용하는 조직을 표적으로 삼는 것으로 관찰되었으며, 많은 피해자가 미국에 위치하고 있습니다. 이 서비스에는 피해자의 이메일 주소를 미리 채우고 조직의 실제 Microsoft 365 로그인 페이지에서 추출된 적절한 회사 로고 및 배경 이미지를 자동으로 표시하는 기능이 포함되어 있습니다.
피싱 키트는 Greatness API와 함께 작동하여 피해자에게 정보를 요청하고 합법적인 Microsoft 365 페이지에 실시간으로 로그인을 시도합니다.
Greatness PhaaS 플랫폼이란 무엇입니까?
2022년 중반 이후 여러 피싱 캠페인에서 위대함이 관찰되었으며, 2022년 12월 및 에서 스파이크가 관찰되었습니다 2023년 3월. MFA(다단계 인증) 바이패스, IP 필터링 및 텔레그램 봇과의 통합을 포함하여 일부 고급 PhaaS 제품에서 볼 수 있는 것과 유사한 기능을 통합합니다.
현재 이 도구는 Microsoft 365 페이지에 초점을 맞추고 있으며 계열사에 첨부 파일과 링크 빌더를 제공하여 매우 설득력 있는 로그인 페이지를 생성합니다. 앞서 언급한 바와 같이, 피해자의 이메일 주소를 미리 채우고 합법적인 로그인 페이지에서 추출한 적절한 회사 로고 및 배경 이미지를 자동으로 표시할 수 있습니다. 이로 인해 Greatness는 비즈니스 사용자를 피싱하려는 위협 범죄자에게 매력적입니다.
Greatness를 사용하는 계열사는 API 키를 사용하여 제공된 피싱 키트를 배포하고 구성해야 하며, 이를 통해 숙련된 위협 범죄자도 서비스를 활용할 수 있습니다. 피싱 키트 및 API는 Microsoft 365 인증 시스템의 프록시로 작동하여 피해자의 인증 자격 증명 또는 쿠키를 훔치기 위해 중간자 공격을 수행합니다.
Greatness PhaaS는 관리자 패널, 서비스 API 및 Telegram 봇 또는 이메일 주소가 포함된 피싱 키트를 포함한 세 가지 구성 요소로 구성됩니다.
활동 및 피해학
- VirusTotal에서 사용 가능한 첨부 파일 샘플 수에 2023년 3월따라 위대함은 2022년 12월 및 에서 스파이크와 함께 2022년 중반에 데뷔한 것으로 보입니다.
- 관찰된 각 캠페인은 지리적 초점이 약간 다릅니다. 그러나 모든 표적의 50% 이상이 미국에 기반을 두고 있었습니다.
- 위대함은 Microsoft 365 사용자를 침해하여 잠재적 피해자 풀을 매우 크게 만들 수 있도록 설계되었습니다. Cisco Talos가 수행한 연구에 따르면 제조, 의료 및 기술 부문은 Greatness의 가장 큰 표적이 되었습니다.
Greatness 공격 흐름 살펴보기
Greatness와 관련된 캠페인의 공격 흐름은 피해자가 악성 이메일을 수신할 때 시작됩니다. 이러한 이메일에는 일반적으로 HTML 파일이 첨부 파일로 포함되어 있으며 피해자가 이를 열도록 유인합니다.
피해자가 HTML 파일을 열면 웹 브라우저가 난독화된 짧은 JavaScript 코드를 실행하여 공격자의 서버에 대한 연결을 설정합니다. 이 연결을 통해 Greatness는 피싱 페이지 HTML 코드를 가져와 동일한 브라우저 창에서 사용자에게 표시할 수 있습니다. 코드에는 흐린 이미지와 회전하는 휠이 포함되어 있어 문서가 로드되고 있다는 인상을 줍니다. 페이지는 피해자의 이메일 주소와 해당 회사가 사용하는 사용자 지정 배경/로고가 미리 채워진 Microsoft 365 로그인 페이지로 피해자를 리디렉션합니다.
피해자가 암호를 제출한 후 Greatness는 피해자의 자격 증명으로 Microsoft 365 에 로그인하려고 시도합니다. 피해자가 MFA를 활성화한 경우, 서비스는 피해자에게 인증을 요청하게 됩니다.
서비스가 MFA 요청을 수신하면 현장 뒤의 피해자를 가장하여 로그인 프로세스를 완료하고 인증된 세션 쿠키를 수집합니다. 그러면 Telegram 채널의 서비스 계열사로 전달되거나 웹 패널을 통해 직접 전달됩니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“Greatness PhaaS에서 가장 흥미로운 점은 전통적인 피싱과 같은 자격 증명을 훔치는 것만으로 끝나는 것이 아니라는 것입니다. Greatness는 도난당한 자격 증명을 합법적인 Microsoft 로그인 페이지에 실시간으로 제출하여 위협 범죄자가 피해자의 계정에 즉시 액세스할 수 있도록 합니다.
“Greatness 이메일 미끼가 어떻게 보이는지에 대해 아직 이용 가능한 정보가 많지 않지만, CTI는 더 많은 정보가 밝혀지면 업데이트를 제공할 것입니다.”
이러한 이야기를 공유하고 싶은 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
