이번 주 소식 모음에서 CTI는 북미와 아시아 전역의 기업을 표적으로 삼는 ‘Auto-color’라는 새로운 리눅스 악성코드를 분석합니다. 다음으로, CTI는 취약한 Windows 드라이버를 악용해 Gh0st RAT 악성코드를 유포하는 현재 진행 중인 공격 캠페인을 조사하고 있습니다. 마지막으로, CTI는 ‘Lotus Blossom’으로 알려진 위협 행위자와 관련된 여러 첩보 활동을 조사합니다.
자동 색상 변경 기능을 갖춘 리눅스 악성코드가 완전한 원격 접근 권한을 부여한다
팔로알토 네트웍스( , 새 탭에서 열림) 의 연구진이 ‘Auto-color’라고 명명된 새로운 리눅스 악성코드를 발견했습니다.
북미와 아시아 전역의 기관들을 표적으로 삼는 것으로 확인된 이 악성코드는 위협 행위자들에게 감염된 컴퓨터에 대한 완전한 원격 접근 권한을 부여합니다.
이 악성코드는 특히 무해해 보이는 파일 이름을 사용하고, 원격 C2 연결을 숨기며, 독자적인 암호화 알고리즘을 사용하여 탐지를 더욱 회피합니다.
‘Auto-color’ 리눅스 악성코드는 누구를 표적으로 삼는가?
Palo Alto는 이 악성코드의 첫 번째 샘플을 2024년 11월에서 처음 확인했으며, 가장 최근에 확인된 샘플은 2024년 12월에 있습니다. 팔로알토는 대학과 정부 기관을 표적으로 삼는 이 악성코드 계열을 확인했습니다.
연구진은 이 악성코드가 어떻게 피해자에게 전파되는지 아직 밝혀내지 못했다. 그러나 Palo Alto는 해당 파일이 리눅스 시스템에서 ‘ ’ 피해자가 직접 실행하도록 설계되었다고 판단했습니다. (새 탭에서 열림).
‘Auto-color’ 악성코드는 어떻게 작동하나요?
이 악성코드는 배포되는 대상마다 서로 다른 파일 이름을 사용합니다. 앞서 언급했듯이, 이 바이러스는 “door”나 “egg”와 같이 무해해 보이는 파일 이름을 사용합니다. Auto-color 제작자가 “암호화된 C2 구성 페이로드를 각 악성코드 샘플에 정적으로 컴파일”하기로 선택했기 때문에, 파일마다 해시 값이 다릅니다.
이 악성코드가 컴퓨터에서 실행되면, 해당 실행 파일이 실제로 ‘Auto-color’인지 확인합니다. 파일 이름이 “Auto-color”가 아닌 경우, “실행 파일 자체 내에 위치한 은폐된 라이브러리 임플란트”에 대한 설치 단계가 실행됩니다.
이 악성코드는 필요한 루트 권한을 확보한 경우에만 실행 절차를 진행하며, 권한을 확보하면 정상적인 C 유틸리티 라이브러리를 모방한 악성 라이브러리 임플란트를 설치합니다.
Auto-color는 라이브러리 임플란트를 설치하고 악성 라이브러리 파일을 Linux 시스템의 표준 파일에 “ld.preload”라는 이름으로 기록하기 전에, 스스로를 복사하여 “/var/log/cross/auto-color”로 이름을 변경합니다.
Palo Alto가 지적했듯이, “ld.preload”에 포함된 라이브러리가 먼저 로드되므로, 이후에 로드되는 악성 라이브러리가 이러한 핵심 라이브러리 중 일부를 재정의할 수 있게 됩니다.
악성코드의 핵심 실행 단계에 앞서, 악성코드는 페이로드를 복호화하여 어떤 원격 공격자 서버에 연결해야 하는지 파악해야 합니다. 이 페이로드를 얻기 위해, 특정 파일을 읽거나, 첫 번째 방법이 성공하지 못했을 경우 해당 파일의 .data 섹션에서 페이로드를 가져옵니다.
페이로드의 암호화는 스트림 암호의 한 형태입니다. 팔로 알토는 페이로드를 분석한 결과, 이것이 세 가지 주요 구성 요소로 이루어져 있음을 확인했습니다:
- 암호화된 블록의 크기
- 암호문
- 열쇠 그 자체
최종 페이로드는 복호화되면, 해당 악성코드가 연결해야 하는 실제 대상들이 포함되어 있습니다.
악성코드가 위협 행위자와 연결되면 핸드셰이크를 시작한 후 명령이 실행되기를 대기합니다. 페이로드는 명령 ID에 따라 해당 특정 API 명령에 맞는 고유한 구조를 가지고 있습니다.
Tanium 사이버 위협 인텔리전스 팀의 애널리스트 의견
‘Auto-color’의 가장 최근 사례는 2024년 12월에서 확인되었습니다. 결과적으로, 이것이 여전히 감지되지 않은 채 활동 중인 위협인지, 아니면 실제로 잠잠해진 것인지 불분명하다.
흥미롭게도, 이 악성코드는 대상마다 이름과 해시가 다른 파일을 사용하기 때문에, 이러한 지표만을 바탕으로 탐지하는 것은 다소 효과가 떨어집니다. 이러한 지표에만 의존하는 것만으로는 충분하지 않으며, 특정 전술에 대한 탐지 기능을 갖추는 것이 더 효과적일 수 있다는 점을 다시 한번 상기시켜 드립니다.
[관련 기사: 직접 봐야 믿는다: 기업들이 사이버 보안을 강화하기 위해 AI를 활용하는 방법] (새 탭에서 열림)
악성 행위자들이 새로운 악성코드 캠페인에서 Truesight.sys를 악용하고 있다
체크포인트(Check Point)는 최근 (새 탭에서 열림) 에서, 취약한 Windows 드라이버인 Truesight.sys를 악용해 Gh0st RAT 악성코드를 유포하는 지속적인 악성코드 캠페인을 확인했습니다.
이번 연구를 통해 EDR/AV 무력화 모듈을 배포하고 있던 수천 개의 1단계 악성 코드 샘플이 발견되었다.
배경 및 주요 결과
체크포인트는 취약점이 확인되지 않은 드라이버의 악용 사례를 파악하기 위해 이 연구를 시작했는데, 짐작하시겠지만 이는 이미 취약점이 확인된 드라이버를 찾아내는 것보다 훨씬 더 어려운 작업입니다. 이 연구를 통해 대규모의, 현재도 진행 중인 악성코드 캠페인이 발견되었습니다.
[함께 읽어보세요: 위협 탐지란 무엇인가요? [실제 사례를 통한 개요] (새 탭에서 열림)
언뜻 보기에, 샘플 중 하나는 “Truesight.sys”라는 이름의, 에서 알려진 취약점 드라이버 (새 탭에서 열림) 를 심고 있는 것으로 보였습니다. 연구진은 이것이 단순히 또 다른 취약점을 가진 트루사이트 드라이버가 아니라는 사실을 깨달았다. 그들은 해당 샘플들이 동일한 버전의 취약점이 있는 Truesight 드라이버를 설치했지만, 해시 값은 서로 달랐다는 사실을 발견했다. 이는 공격자가 파일 해시를 변경할 만큼만 드라이버를 수정했을 가능성이 높지만, 디지털 서명을 변경할 정도까지는 수정하지 않았음을 시사한다.
연구진이 밝혀낸 사실은 다음과 같다:
- 이 업체들은 퍼블릭 클라우드의 중국 지역 인프라를 사용하고 있습니다. 이 인프라는 페이로드와 C2 대의 서버를 호스팅합니다.
- 피해자의 약 75%가 중국에 있는 것으로 추정된다.
- 다운로더 역할을 하는 악성 코드 샘플들은 잘 알려진 애플리케이션으로 위장한 채, , (새 탭에서 열림),, 등의 피싱 사이트를 통해 유포되는 것으로 확인되었습니다.
기술적 세부 사항
이 캠페인의 가장 초기에 탐지된 초기 단계 샘플은 2024년 6월에서 유래한 것으로, 이 샘플은 의 원래 레거시 드라이버 (새 탭에서 열림)의 취약한 버전을 악용했습니다. 그 후 얼마 지나지 않아, 이 초기 단계의 샘플들은 원래 드라이버 대신 드라이버의 변종들을 악용하기 시작했습니다.
체크포인트는 초기 감염 과정을 다음과 같은 세 단계로 구분했습니다.
- 2단계 및 암호화된 페이로드 다운로드
- 페이로드 로딩 및 3단계와 해당 암호화된 페이로드 다운로드
- 3단계 페이로드 로딩 및 메모리 내 EDR/AV 킬러 모듈 배포
결국 Gh0st RAT의 배치와 실행으로 마무리된다.
체크포인트의 보고서에는 기존 Truesight 드라이버에 대한 자세한 내용이 담겨 있습니다. 또한, 체크포인트가 조사한 모든 샘플에서 Gh0st 개의 RAT가 배포된 것으로 나타났으며, 구체적으로는 ‘HiddenGh0st’로 알려진 변종이 확인되었다.
Tanium 사이버 위협 인텔리전스 팀의 애널리스트 의견
체크포인트(Check Point)의 연구 결과에 따르면, 위협 행위자들이 취약한 드라이버를 악용하는 사례가 점점 늘어나고 있음이 분명합니다. 알려진 취약점이 있는 드라이버 인스턴스를 찾아내는 일은 대개 간단할 수 있지만, Truesight 드라이버와 관련된 이번 특정 공격은 알려진 해시 값에 의존하는 탐지 방식은 물론 그 밖의 여러 탐지 방법까지 우회했을 것으로 보입니다.
체크포인트가 지적했듯이, “단순한 해시 값을 넘어선 속성을 바탕으로 드라이버를 차단하는” 방식으로 전환하는 것은 탐지 및 보호 기능을 향상시키는 데 있어 매우 중요합니다.
[관련 기사: GenAI의 취약한 코드를 정말 ‘무시’해도 될까? 이 보안 전문가는 “그렇다”고 답했습니다(어느 정도는)] (새 탭에서 열림)
‘로터스 블라썸’이 여러 산업에 위협이 되고 있다
Cisco Talos는 (새 탭에서 열림) 에서, 적어도 2012년부터 활동해 온 그룹인 Lotus Blossom이 연루된 여러 첩보 작전을 발견했습니다.
Sagerunex 백도어 및 기타 해킹 도구를 유포하는 최근의 공격은 제조 (새 탭에서 열림), 정부, 통신, 미디어 등 여러 산업 분야를 표적으로 삼고 있습니다. 이 해커는 또한 C2을 위해 타사 클라우드 서비스를 악용하는 자사의 대표 백도어에 새로운 변종을 만들어 냈다. 시스코 탈로스(Cisco Talos)는 최근의 공격 캠페인이 주로 필리핀, 베트남, 홍콩, 대만의 피해자들을 표적으로 삼아 상당한 성과를 거둔 것으로 보인다고 밝혔습니다.
연구진은 또한 Lotus Blossom의 ‘Sagerunex’ 백도어의 새로운 변종을 발견했다. 이 새로운 변종들은 C2을 위해 가상 사설 서버에 의존하는 대신, 드롭박스, 트위터, 짐브라 등 제3자 클라우드 서비스를 이용합니다.
Lotus Blossom 공격 체인에는 어떤 도구가 사용되나요?
시스코 탈로스(Cisco Talos)는 이 그룹이 오픈소스 도구를 비롯해 쿠키 탈취 도구, Venom 프록시 도구, 권한 조정 도구, 압축 도구, 포트 중계 도구, RAR 도구 등 다양한 도구를 사용하고 있음을 밝혀냈다. 이 보고서는 이러한 각 도구에 대해 더 자세한 내용을 다루고 있습니다.
[함께 읽어보세요: 보안에서 접근 제어란 무엇인가요? [유형 및 모범 사례에 대한 심층 가이드] (새 탭에서 열림)
이 그룹은 원격 명령을 실행하기 위해 Impacket 도구를 활용하는 모습이 흔히 관찰되었다. 네트워크에 성공적으로 침투한 후, 공격자는 정찰을 시작으로 여러 단계를 거쳐 진행합니다. 그런 다음 담당자는 해당 기기가 인터넷에 연결될 수 있는지 확인하고, 연결되지 않을 경우 다양한 도구를 활용하여 기기를 인터넷에 접속 가능한 시스템에 연결합니다. 또한 이 해커는 Sagerunex 백도어를 설치하기 전에 “public\pictures” 하위 폴더 내에 백도어와 다양한 해킹 도구를 배치하는 모습이 포착되기도 했다.
Sagerunex 설치 방법
시스코 탈로스(Cisco Talos)는 로더 코드를 분석하여 Sagerunex 백도어의 여러 변종을 확인했습니다. 백도어가 실행되면, 진행이 가능한지 확인하기 위해 검증 절차를 수행합니다. 각 변형에는 즉시 실행할지, 아니면 실행을 지연시킬지를 결정하는 시간 확인 로직이 있습니다. 확인된 모든 변이체에서 공통적으로 나타나는 특징은 프록시 구성입니다.
시스코 탈로스(Cisco Talos)는 베타 버전, 드롭박스(Dropbox) 및 트위터(Twitter) 버전, 짐브라(Zimbra) 버전 등을 포함한 여러 변종을 확인했습니다. 이 보고서는 베타, 드롭박스, 트위터 버전에 대해 자세히 다루고 있습니다.
Zimbra (새 탭에서 열림)최신 버전인 은 Zimbra API를 사용하여 서비스에 연결하며, 이 연결은 캠페인의 C2 채널로 활용됩니다. 이 버전은 Zimbra URL, 사용자 이름 및 비밀번호를 사용하여 적절한 인증 토큰을 가져옵니다. 그런 다음 해당 토큰을 사용하여 폴더와 문서를 동기화할 수 있습니다.
Tanium 사이버 위협 인텔리전스 팀의 애널리스트 의견
다른 많은 행위자들과 마찬가지로, Lotus Blossom도 탐지를 피하기 위해 Dropbox, Twitter, Zimbra와 같은 합법적인 서비스에 더 많이 의존하는 방식으로 전환했습니다. 이는 공격자들이 정상적인 비즈니스 트래픽에 섞여 들 수 있도록 , (새 탭에서 열림),, 등의 서비스를 의도적으로 악용하는 일반적인 경향입니다.
시스코 탈로스(Cisco Talos)가 정리한 다양한 Sagerunex 변종들의 타임라인에 따르면, 이 공격자는 지난 몇 년간 대규모로 활동이 급증하기 전인 2018년부터 합법적인 서비스를 악용하기 시작한 것으로 나타났습니다.
이 이야기들에 대해 공유하고 싶은 의견이 있으신가요? , Tanium 토론 포럼 (새 탭에서 열림),, 을 방문하여 대화를 시작해 보세요.
더 자세한 내용을 확인하시려면, 최근 발행된 ‘’ 사이버 위협 인텔리전스 요약 기사들을 참고해 주세요. (새 탭에서 열림).
