이번 주 CTI는 Rockstar 2FA이라는 서비스형 피싱(PhaaS) 툴킷을 활용하는 이메일 캠페인을 살펴봅니다. 다음 CTI는 RevC2 및 Venom Loader를 조사합니다. 이 두 가지 새로운 악성코드군은 8월 일부터 까지 캠페인에 배포되었습니다 2024년 10월. 마지막으로, CTI는 악명 높은 SmokeLoader 멀웨어와 관련된 최근 공격을 탐색합니다.
Rockstar 2FA 은 Microsoft 365 사용자를 대상으로 합니다
Trustwave는 DadSec/Phoenix 피싱 서비스의 업데이트된 버전인 Rockstar 2FA을 활용하는 이메일 캠페인에 대한 경고입니다.
이 캠페인은 중간 공격자(AiTM) 기법을 활용하여 자격 증명과 쿠키를 훔쳐 MFA 보호가 공격에 취약하게 만듭니다.
캠페인 개요
Trustwave 연구원들은 정점에 이르렀 2024년 8월 고 현재도 여전히 활성 상태인 대규모 피싱 캠페인을 추적하고 있습니다. 캠페인은 공격자가 자격 증명과 쿠키를 가로챌 수 있는 AiTM 공격을 활용합니다. 이 캠페인은 Microsoft 365 로그인을 모방한 페이지가 있는 Microsoft 사용자 계정을 대상으로 합니다. Trustwave는 이 캠페인에 자동차 테마 웹 페이지가 포함되어 있어 캠페인에 연결된 5.000 개 이상의 자동차 테마 도메인을 식별할 수 있다고 언급합니다.
Rockstar 2FA PhaaS
캠페인은 Rockstar 2FA 피싱 키트와 연결되어 있습니다. Rockstar 2FA 의 마케팅 및 커뮤니케이션은 ICQ, Telegram 및 Mail[.]ru에서 관찰되었습니다. 피싱 키트에는 다단계 바이패스, 쿠키 수집, 안티봇 보호, 로그인 테마, 무작위 소스 코드 및 첨부 파일, 완전히 감지할 수 없는(FUD) 링크 등이 포함되어 있습니다.
이메일 캠페인
이러한 캠페인의 이메일은 손상된 계정, 스팸 툴 및 합법적인 플랫폼의 남용을 포함하여 몇 가지 다른 방식으로 전달됩니다. 공격자는 문서 및 파일 공유 알림, HR/급여 관련 메시지, IT 부서 알림, 비밀번호 관련 경고 등을 포함하여 이메일에 다양한 테마와 미끼를 사용합니다.
Trustwave는 공격자가 난독화, FUD 링크 및 QR 코드와 같은 안티스팸 탐지를 우회하기 위해 다양한 기법을 사용하는 것을 관찰했습니다. 이메일의 링크는 AiTM 서버의 응답에 따라 피싱 랜딩 페이지 또는 자동차 테마 사이트로 연결됩니다. 이 페이지의 방문자는 Cloudflare Turnstile 챌린지를 받게 되며, 이 챌린지는 공격자가 자동 분석을 회피하는 데 자주 사용됩니다.
AiTM 피싱 페이지
피싱 페이지는 Cloudflare Turnstile 챌린지를 거친 후 검색됩니다. Trustwave는 피싱 페이지 또는 자동차 테마 미끼 페이지를 사용자에게 표시해야 하는지 여부를 결정하기 위한 확인이 있다고 믿습니다.
피싱 페이지는 사용자가 입력한 데이터를 수집하여 AiTM 서버로 전송합니다. 그런 다음 이러한 자격 증명을 사용하여 세션 쿠키를 얻을 수 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Trustwave는 이 위협의 심각성을 잘 요약하고, “Rockstar 2FA PaaS 플랫폼에 연결된 캠페인과 같은 상품 피싱 공격은 낮은 비용과 배포 용이성으로 인해 계속 보편화되고 있습니다.”라고 말합니다.
이러한 캠페인의 배경이 되는 공격자는 AiTM 기법 외에도 Rockstar 2FA 을 사용하고 있으며, 이는 성공 가능성을 높이고 도난당한 자격 증명을 사용하여 향후 공격을 위한 길을 열어줍니다. Rockstar 2FA 툴킷은 향후 추가 업데이트 및 사용을 받게 될 것입니다.
공격자가 RevC2and Venom Loader 멀웨어 배포
Zscaler는 8월 일에서 일 사이에 캠페인에 배포된 두 가지 새로운 멀웨어 패밀리 RevC2 과 Venom Loader를 식별했습니다 2024년 10월.
두 악성코드군은 Venom Spider라고 알려진 공격자의 서비스형 악성코드(MaaS) 도구를 통해 배포되었습니다. Venom Loader 제품군은 각 피해자에 맞게 사용자 지정됩니다.
캠페인 1: API 문서화 루어 결과 RevC2
첫 번째 캠페인은 8월과 9월 사이에 진행되었으며 API 문서 미끼를 사용하여 페이로드를 전달했습니다(RevC2). 배포는 여전히 알 수 없지만 공격의 첫 번째 단계는 VenomLNK라는 파일로 시작됩니다. 이 파일에는 API 문서 미끼인 이미지 파일을 다운로드하는 배치 스크립트가 포함되어 있습니다.
VenomLNK는 RevC2의 실행을 트리거하는 명령을 실행합니다. RevC2 는 샌드박스 환경에서 실행되지 않음을 나타내는 다양한 확인이 통과된 경우에만 악성 소프트웨어를 실행합니다. RevC2 은 또한 C2 통신에 WebSockets를 사용합니다. 이 악성코드는 비밀번호 도용, 셸 명령 실행, 스크린샷 캡처, 트래픽 프록시, 쿠키 도용 및 다른 사용자로 명령 실행을 비롯한 많은 작업을 수행할 수 있습니다.
캠페인 2: Crypto 루어가 Venom 로더에 생성됨
두 번째 캠페인은 9월부터 10월까지 진행되었으며 Venom Loader를 제공하기 위해 암호화 거래 미끼를 사용했습니다. Venom Loader는 다시 More_eggs lite라는 JavaScript 백도어를 로드합니다. 이렇게 하면 작업자에게 원격 코드 실행 기능이 제공됩니다.
첫 번째 캠페인과 마찬가지로 배포 방법은 알 수 없습니다. 그러나 연구자들은 공격의 첫 번째 단계가 난독화된 배치 스크립트와 다운로드를 포함하고 암호화 미끼 이미지를 표시하는 VenomLNK 파일로 시작됨을 확인했습니다. 이 악성코드는 zip 파일을 다운로드하고, 압축을 풀고, Venom Loader를 실행할 악성 DLL을 사이드로드합니다.
DLL은 피해자의 컴퓨터 이름을 사용하여 페이로드를 인코딩하여 각 피해자에 대해 사용자 지정 구성됩니다. 그런 다음 Venom Loader를 사용하여 More_eggs 라이트 백도어를 로드합니다. 백도어는 루프에서 HTTP POST 요청을 C2로 전송합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Venom Loader 멀웨어 제품군은 각 피해자에게 맞춤화되어 있기 때문에 특히 흥미롭습니다. 이는 그다지 흔하지 않습니다.
악명 높은 위협 그룹 사이에서 널리 사용되는 Venom Spider MaaS 도구를 통해 배포된 것을 고려할 때, 이 두 가지 멀웨어 패밀리를 사용하는 추가 공격자를 볼 수 있습니다. Zscaler가 지적한 바와 같이, 이러한 악성코드군은 또한 추가 기능을 포함하도록 진화할 가능성이 높습니다.
SmokeLoader 멀웨어는 감소 후 다시 나타납니다
최근 연구자들은 악명 높은 SmokeLoader 멀웨어를 사용한 공격을 목격했습니다.
Europol이 년에 여러 주요 악성코드군의 인프라를 철수한 후 SmokeLoader 활동이 크게 감소 2024년 5월하여 악성코드의 회복이 두드러졌습니다.
개요 및 공격 흐름
9월에 Fortinet은 대만의 기업을 대상으로 하는 SmokeLoader 캠페인을 관찰했습니다. 의료, 제조, IT 및 기타 부문을 포함한 여러 수직적 부문의 기업들이 공격을 받았습니다.
SmokeLoader 멀웨어는 다목적성과 회피 기술로 잘 알려져 있습니다. 이 악성코드는 추가 악성코드를 전달하는 다운로더 역할을 하며, 이 경우 C2 서버에서 플러그인을 다운로드합니다.
SmokeLoader 및 피싱
공격은 첨부 파일이 포함된 피싱 이메일에서 시작됩니다. 첨부된 파일은 특별 지침이 포함된 견적인 경향이 있습니다. Fortinet은 다른 조직으로 전송할 때 수신자의 이름이 변경되지 않기 때문에 이러한 이메일이 어딘가에서 온 사본일 수 있다고 생각합니다. 또한 이메일 서명의 글꼴, 색상 및 전화번호가 이메일 본문과 다릅니다.
취약성 악용
공격 체인은 처음에는 서로 다른 취약성을 사용하지만, AndeLoader에서는 계속 사용됩니다. 첫 번째 취약점은 OLE2-embedded 링크 개체를 악용하는 Microsoft Office 취약점인 CVE-2017-0199 입니다. 다른 취약점인 CVE-2017-11882은 원격 코드 실행 Microsoft Office 취약점입니다.
AndeLoader
공격자는 어떤 취약점을 사용하든 AndeLoader를 사용합니다. 이 악성코드는 정크 코드로 가득 찬 VBS 파일에서 시작하여 실제 악성 코드를 숨깁니다. 이 코드는 주입기의 데이터가 포함된 스테가노그래피 JPG 파일을 다운로드합니다. 인젝터는 간단하며 난독화되지 않았습니다. 지속성을 설정하고 SmokeLoader에 대한 주입을 수행합니다.
SmokeLoader의 플러그인
이 배우의 C2 서버는 3개의 개별 플러그인과 32비트 및 64비트 버전이 포함된 3개의 플러그인을 포함하는 9개의 플러그인을 배포합니다. 이 플러그인을 통해 공격자는 다양한 웹 브라우저, Outlook, Thunderbird, FileZilla 및 WinSCP에서 로그인 자격 증명, FTP 자격 증명, 이메일 주소, 쿠키 등을 훔칠 수 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
SmokeLoader는 항상 고급화되어 있고 적응력이 뛰어납니다. Fortinet의 관찰 결과는 특히 인프라(1,000개 이상 C2 개 도메인)의 일부로 악성코드의 정교함을 더욱 잘 보여줍니다.
즉, 이 캠페인은 몇 년이 지난 취약성에 의존하므로 전반적인 성공 수준에 의문이 제기됩니다. SmokeLoader가 시간이 지남에 따라 더 최근의 익스플로잇을 활용하기 시작하는지 확인하는 것은 흥미로울 것입니다.
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
