이번 주에 Tanium의 사이버 위협 인텔리전스(CTI) 팀은 남미 사용자를 대상으로 하는 고급 뱅킹 트로이 목마인 Astaroth를 검토합니다. 또한 당사의 팀은 전체 공격 체인을 제어하고 MonsterV2 개의 악성코드를 자주 배포하는 정교한 공격자인 TA585에 대한 업데이트를 제공합니다. 마지막으로, 공격자가 지능형 기술 지원 스캠에서 Microsoft의 신뢰할 수 있는 브랜딩을 어떻게 활용하는지 살펴봅니다.
Astaroth trojan은 GitHub를 사용하여 멀웨어 구성을 호스팅합니다.
McAfee는 사용자가 뱅킹 또는 암호화폐 웹사이트에 액세스할 때 키로깅을 통해 자격 증명을 훔치는 정교한 뱅킹 트로이 목마인 Astaroth에 대한 세부 정보를 공유하고 있습니다.
이 변종이 특히 탄력적인 이유는 GitHub 리포지토리를 사용하여 멀웨어 구성을 호스팅하고 기존의 명령 및 제어(C2) 서버 테이크다운을 우회하는 것입니다.
[높아지는 사이버 위협으로부터 금융 서비스 조직을 보호합니다. Tanium이 실시간 가시성 및 제어를 제공하는 방법을 알아보십시오.]
Astaroth의 피싱 이메일
이 공격은 클릭 시 ZIP 파일을 다운로드하는 링크가 포함된 피싱 이메일 에서 시작됩니다. McAfee에 따르면 이러한 이메일의 미끼는 DocuSign 링크 및 이력서와 관련이 있는 경우가 많습니다.
다운로드한 ZIP 파일에는 난독화 JavaScript 명령이 추가로 포함된 LNK 파일이 포함되어 있습니다. McAfee는 각 링크가 지리적으로 제한되어 있다고 보고합니다.
다운로드한 JavaScript는 무작위로 선택한 서버에서 여러 파일을 다운로드합니다. 다운로드한 파일에는 AutoIt 컴파일 스크립트, AutoIt 해석기, 암호화된 페이로드 및 암호화된 악성코드 구성이 포함됩니다. JavaScript는 AutoIt 스크립트를 실행하여 셸코드를 메모리 내에 로드합니다.
페이로드 분석
Astaroth는 이 캠페인의 페이로드입니다. 악성코드는 Delphi에 기록되며 분석되고 있다고 생각되면 시스템을 종료합니다. 시스템에 여러 도구가 있는지 확인하고, 시스템 로케일이 미국과 관련이 있는지 확인하고, 열려 있는 브라우저를 지속적으로 확인합니다. 이 악성코드는 은행 관련 사이트 또는 암호화폐 사이트가 열려 있음을 식별하는 경우 키보드 이벤트를 연결하고 키 입력을 수집합니다.
C2 통신 및 인프라
도난당한 자격 증명은 사용자 지정 바이너리 프로토콜을 사용하여 공격자의 C2 서버로 전송됩니다.
McAfee는 구성이 2시간마다 업데이트된다고 언급합니다. “구성 업데이트 URL에서 이미지 파일을 가져오고 이미지에서 숨겨진 구성을 추출”하여 이 업데이트를 수행합니다. 구성 파일은 저장된 형식으로 인해 숨겨집니다. McAfee는 동일한 패턴의 이미지 파일이 있는 여러 GitHub 저장소를 식별했으며, 이 모든 것이 그 이후로 축소되었습니다.
지속성을 위해 Astaroth는 시작 시 실행되고 시스템 시작 시 악성코드를 트리거하기 위해 AutoIt 스크립트를 실행하는 LNK 파일을 삭제합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
공격자들은 탐지를 회피하기 위해 신뢰할 수 있는 플랫폼을 점점 더 많이 이용하고 있습니다. 이 특정 공격자는 이미지에 데이터를 포함시켜 악성코드를 정상 트래픽으로 혼합하기 위해 추가 조치를 취하고 있으므로 방어자가 이상을 발견하는 것이 더 어렵습니다.
이는 현재 매우 맞춤화되고 타겟팅되어 있으며, 특히 미국과 관련된 로케일이 있는 시스템은 제외되지만, 그 기술은 전 세계적으로 적용됩니다.
TA585 은 피싱 캠페인에서 MonsterV2 개의 멀웨어를 제공합니다
[액세스 제어가 보안을 강화하고 조직을 보호하는 방법 알아보기]
Proofpoint에 따르면 TA585 은 탐지를 회피하고 영향을 극대화하기 위해 기만적인 미끼, 고급 사회 공학 및 ClickFix 및 CoreSecThree와 같은 인프라를 사용합니다.
캠페인 세부 정보
TA585 은 일반적으로 침해된 웹사이트를 통해 멀웨어를 배포하며, 이는 종종 피해자에게 가짜 CAPTCHA를 표시합니다. 피해자가 복사된 스크립트를 실행하면 악성코드가 다운로드됩니다.
Proofpoint는 또한 공격자의 악성코드 페이로드가 가짜 CAPTCHA 페이지 웹사이트 대신 이메일을 통해 전달되는 것을 관찰했습니다. 이러한 이메일은 주로 공격자가 가짜 보안 알림에서 GitHub 사용자에게 태그를 지정한 GitHub의 알림이었습니다. 다른 연구자들은 또한 공격자가 악의적인 공격을 통해 악성코드를 전달하는 것을 관찰했습니다.
뉴스에서 더 많은 CAPTCHA 위협
지난 몇 달 동안 CAPTCHA 관련 위협은 계속 진화하여 더욱 정교해지고 피싱, 멀웨어 전달 및 자격 증명 도난 캠페인에 통합되었습니다.
다음은 최근 조사에서 얻은 네 가지 주목할 만한 보고서입니다.
1. ClickFix 복원: 스텔스 및 지속성을 위해 CAPTCHA를 악용하는 지능형 위협 캠페인에서 ClickFix의 반환에 대한 심층 분석을 받습니다.
2. ClickFix 캠페인 하이잭 CAPTCHA: 진화하는 캠페인에서 공격자가 CAPTCHA 우회 기술을 활용하는 방법을 알아보십시오.
3. UNC5518 개 캠페인의 가짜 CAPTCHA 페이지: UNC5518 이 난독화를 위해 ClickFix와 함께 CORNFLAKE.V3 를 사용하는 방법을 알아보십시오.
. AI 난독화 피싱의 4CAPTCHA: CAPTCHA가 피싱 작업 및 멀웨어 전달을 가리는 데 어떻게 사용되고 있는지 알아보십시오.
약 MonsterV2 개의 멀웨어
MonsterV2 은 스텔러와 로더 역할을 모두 수행하며 StealC와 같은 추가 악성코드를 삭제하는 경우가 많습니다. 다른 공격자들도 MonsterV2 개의 멀웨어를 사용하고 있습니다. Proofpoint는 년에 IRS 관련 미끼를 사용한 캠페인에서 처음 MonsterV2 개를 발견2025년 2월 했습니다.
Proofpoint에 따르면 이 악성코드에는 로그인 데이터, 토큰, 브라우저 데이터, 파일 등을 열거하고 유출하는 기능을 포함한 여러 기능이 탑재되어 있습니다. 또한 피해자의 웹캠을 기록하고, 데스크톱을 보고, 클리퍼 기능을 제공하고, 추가 페이로드를 다운로드 및 실행할 수 있습니다. 또한 Proofpoint는 악성코드가 CIS 국가를 감염시키지 않을 것임을 발견했습니다. 멀웨어가 적극적으로 유지 관리 및 업데이트되고 있습니다.
초기화 시 악성코드는 권한을 높인 다음 시스템에 뮤텍스를 생성하려고 시도합니다. 그런 다음 구성을 해독 및 압축 해제하고 도메인에 연락하여 감염된 시스템 IP와 위치를 얻은 후 C2 서버에 도달합니다.
MonsterV2 및 SonicCrypt 암호화
Proofpoint는 일반적으로 MonsterV2 개의 멀웨어가 SonicCrypt 암호화기를 사용하여 패킹된다고 판단했습니다. SonicCrypt가 압축한 악성코드에는 의도적으로 대량의 정크 코드가 포함되어 있어 분석을 더 어렵게 만듭니다. 페이로드를 로드하기 전에 SonicCrypt는 몇 가지 분석 방지 검사를 실행한 다음 디스크의 파일에 기록하고 페이로드를 실행합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
TA585 은 CIS 국가를 피하고 멀웨어 배포 중에 지오펜싱을 사용합니다. 이는 지역 연합 또는 현지 법 집행 방지 시도를 나타낼 수 있습니다.
전달부터 페이로드까지 공격 인프라에 대한 공격자의 전체 스택 제어는 공격자가 타사 서비스에 대한 의존도를 줄이고자 하는 흥미로운 변형을 보여줍니다. 이는 타사 서비스를 활용하여 혼합하는 공격자의 현재 추세와 다릅니다.
공격자는 기술 지원 사기에서 Microsoft의 로고를 악용합니다
Cofense에 따르면, 위협 범죄자들은 Microsoft의 신뢰할 수 있는 브랜딩을 활용하여 고급 기술 지원 스캠을 실행하고 있습니다.
이 공격은 지불 미끼 이메일에서 시작되어, 가짜 CAPTCHA를 통해 피해자를 사기성 Microsoft 보안 경고로 채워진 브라우저 잠금 페이지로 리디렉션하고 사용자가 가짜 지원 번호로 전화하도록 강요합니다. 통화 중에 공격자는 자격 증명을 수집하거나 원격 액세스 도구를 설치하려고 시도합니다.
이 스캠은 유통 중인 다른 스캠과 같습니다. 그러나 이 사기는 소셜 엔지니어링과 가짜 시스템 경고 및 UI 오버레이를 결합하여 더 포괄적이고 위험하게 만듭니다.
[Microsoft Teams가 최근 위협 활동에서 어떻게 표적으로 삼고 있는지, 그리고 협업 환경을 보호하기 위해 취할 수 있는 조치에 대해 알아보십시오]
공격 개요
이 캠페인의 이메일은 금전적 이득 및 은행 업무와 관련된 일반적인 사기 전술을 사용하여 피해자를 유인합니다. 이는 렌터카 회사로부터 환급 또는 지급을 받는 것으로 가장하고, 수취인에게 이메일을 확인하여 자금을 수령하도록 요청합니다.
피해자가 버튼을 클릭하여 이메일을 확인하면 가짜 CAPTCHA 페이지로 이동하여 확인을 완료합니다. 피해자가 인간임을 확인한 후, 다시 실제 랜딩 페이지로 리디렉션됩니다. 이 랜딩 페이지는 캠페인이 기존의 스캠 방법을 넘어선 곳입니다.
랜딩 페이지에서 피해자는 Microsoft 보안 경고로 가장하는 몇 가지 팝업을 볼 수 있습니다. 브라우저가 잠겨 보이도록 조작되며 사용자는 마우스를 찾거나 제어할 수 없습니다. 이 잠금은 환상이며 ESC 키를 눌러 간단히 우회할 수 있습니다.
이 공격은 Microsoft의 브랜딩, 로고, 용어 및 경고 스타일에 익숙해져 피해자가 가짜 Microsoft 지원 전화 번호로 전화하도록 속입니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
이 캠페인은 브라우저를 “잠그고” 피해자를 당황하게 하고 빠른 결정을 내리게 하여 랜섬웨어 경험을 시뮬레이션합니다. 또한 Microsoft 브랜딩을 사용하여 수년간의 사용자 신뢰를 악용하고 가짜 CAPTCHA를 사용하여 사용자가 활동이 합법적이라고 생각하도록 설득합니다.
따라서 이 캠페인은 기존 기술 지원 스캠보다 더 성공적일 가능성이 있습니다..
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오..
