이번 주에 Tanium의 사이버 위협 인텔리전스(CTI) 팀은 최근 출시되어 현재 정상 상태인 새로운 서비스형 악성코드 인포스티엘러인 SantaStealer를 조사합니다. 다음으로 팀은 주요 브랜드를 대상으로 하는 고급 피싱 키트인 BlackForce를 살펴봅니다. 마지막으로, 중국과 연결된 사이버 스파이 그룹인 Ink Dragon에 대한 개요로 마무리합니다.
텔레그램 및 언더그라운드 포럼을 통한 SantaStealer 스프레드
Rapid7 은 모듈식 플러그인과 메모리 상주 기술을 통해 자격 증명, 브라우저 데이터, 지갑 등을 훔치도록 설계된 새로운 서비스형 멀웨어 인포스티엘러인 SantaStealer에 대한 세부 정보를 공유하고 있습니다. Rapid7에 따르면 SantaStealer는 이제 프로덕션 준비가 되어 있으며 야생으로 확산되고 있습니다.
고도의 은밀함으로 판매되고 있지만, Rapid7 은 현재 샘플이 난독화 및 운영 보안이 불량하여 야심찬 주장에도 불구하고 탐지가 더 용이하다고 생각합니다.
검색
Rapid7 명은 처음에 SantaStealer 멀웨어가 지하 포럼에 광고되고 있음을 발견했습니다.
Rapid7 의 연구자들은 일반 인포스텔러 규칙을 트리거한 Windows 실행 파일을 분석했습니다. 이들의 분석에서는 500 개 이상의 내보낸 기호와 자격 증명 도용과 관련된 암호화되지 않은 많은 문자열이 있는 DLL을 발견했습니다. DLL의 일부 기호는 JSON 인코딩 구성을 포함하는 문자열로 이어졌습니다. 이 구성 자체에는 적절한 텔레그램 채널에 대한 링크와 함께 “싼타 스틸러”라고 말하는 배너가 포함되었습니다.
한 걸음 더 나아가 Rapid7 은 SantaStealer의 텔레그램 채널을 살펴보았습니다. 연구자들은 계열사 웹 패널을 발견하고 악성코드에 대해 자세히 알아보기 위한 계정을 만들었습니다. 웹 패널에는 기본 또는 프리미엄 플랜이 있는지에 따라 계열사가 사용할 수 있는 기능 목록이 요약되어 있습니다.
Rapid7 에서 분석한 SantaStealer 샘플은 운영자가 광고한 많은 주장과는 다른 것으로 보입니다. 이로 인해 연구자들은 멀웨어가 여전히 개발 중일 가능성이 높고 초기 샘플이 실수로 배포되었을 수 있다고 믿게 되었습니다.
기술 세부 정보
Rapid7 은 실행 가능한 샘플 중 하나에 대한 심층적인 기술 분석을 실시했습니다. 연구자들은 DLL 빌드 실행을 시도할 것이나, 궁극적으로 문제가 발생할 것임을 발견했다.
이들은 “맬웨어 구성과 C2 서버 IP 주소가 모두 일반 텍스트로 실행 파일에 내장되어 있기 때문에 이러한 페이로드를 탐지하고 추적하는 것은 간단합니다.”라고 말합니다. 이는 SantaStealer에 대한 많은 광고 기능이 구현되면 변경될 수 있습니다.
시작하기 위해 악성코드는 anti_cis 및 exec_delay_seconds 에 대해 입력된 값을 확인하고 그에 따라 반응합니다. 그런 다음 서로 다른 샘플에 따라 달라지는 안티 VM 기능으로 이동합니다. Rapid7 에 따르면 일부 샘플은 블랙리스트에 있는 프로세스 및 컴퓨터 이름을 검색한 반면, 다른 샘플은 단순히 실행 중인 프로세스 수, 시스템 가동 시간 및 VirtualBox가 있는지를 찾았습니다.
페이로드는 궁극적으로 브라우저에서 자격 증명을 훔치려고 합니다. Rapid7 은 보고서에서 이에 대한 자세한 기술 정보를 다룹니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
SantaStealer는 모듈식 기능과 진화하는 정교함으로 최첨단 MaaS 위협을 나타냅니다. 그러나 조기 누출 및 기술적 단순성은 방어자에게 탐지 및 분석을 위한 주요 기회를 제공합니다.
이 인포스티셔너는 주요 공격 벡터로서 진입 장벽과 자격 증명 및 세션 하이재킹을 낮추는 MaaS 에코시스템의 증가를 포함하여 현재 위협 환경을 형성하는 여러 광범위한 추세와 일치합니다.
낮은 운영 보안으로 시작하는 많은 MaaS 오퍼링은 수익이 증가함에 따라 시간이 지남에 따라 어려워집니다. SantaStealer가 이러한 추세를 따르면 진화하고 더욱 정교해질 가능성이 높습니다.
주요 브랜드를 대상으로 한 BlackForce 피싱 키트
최근 Zscaler 게시물 은 BlackForce를 조명합니다. BlackForce는 실제 로그인 페이지와 브라우저 사용자 기술을 사용하여 자격 증명을 훔치고 다중 인증(MFA)을 우회하는 주요 브랜드를 대상으로 하는 고급 피싱 키트입니다.
Zscaler에 따르면 BlackForce는 강력한 회피 전술, 텔레그램을 통한 실시간 데이터 유출을 채택하고 있으며 난독화 및 하이브리드 클라이언트-서버 로직으로 계속 진화하고 있습니다.
BlackForce 검색 및 코드 분석
Zscaler는 피싱 캠페인을 검색할 때 뚜렷한 패턴을 발견했습니다. 패턴은 “도메인은 캐시 버스트 해시를 이름에 포함하는 JavaScript 파일을 일관되게 사용했습니다.”였습니다.
이 패턴으로 인해 BlackForce 피싱 키트의 진입점을 식별하게 되었으며, 이는 플랫폼을 로드할 페이지의 HTML에서 단일 라인이었습니다. Zscaler는 악성 JavaScript 파일 콘텐츠의 99% 이상이 React 및 React 라우터의 프로덕션 빌드를 포함하고 있어 키트가 합법적으로 보이도록 하는 데 도움이 된다는 것을 발견했습니다.
BlackForce 공격 체인
BlackForce 공격은 피해자가 피싱 링크를 클릭하고 공격자의 피싱 페이지로 이동할 때 시작됩니다. 서버 측 ISP/벤더 차단 목록은 연구원 또는 스캐너에서 페이지에 대한 트래픽이 발생하지 않도록 하는 데 사용됩니다. 이 검증이 완료되면 피싱 페이지가 피해자에게 제공되고 자격 증명을 입력하라는 메시지가 표시됩니다.
이때 공격자는 자격 증명이 C2 및 Telegram 채널로 전송되었다는 경고를 받게 됩니다. 그런 다음 공격자는 도난당한 자격 증명을 사용하여 로그인을 시도합니다.
많은 경우, 이는 MFA를 트리거하며 공격자는 BlackForce를 통해 피해자에게 가짜 MFA 인증 페이지를 보내야 합니다. 피해자가 이 가짜 페이지에 속하고 MFA 코드를 입력하면 공격자는 계정에 성공적으로 액세스할 수 있습니다. 공격이 끝나면 피해자는 합법적인 웹사이트로 리디렉션됩니다.
유출
Zscaler는 BlackForce가 Axios를 사용하여 통신을 관리한다고 판단했습니다. 클라이언트 측 Axios 인스턴스는 두 가지가 있습니다. 첫 번째 인스턴스는 C2 통신용이고 다른 인스턴스는 공격자의 Telegram 채널로 데이터를 유출하기 위한 것입니다.
분석 방지
많은 피싱 키트와 마찬가지로 BlackForce는 다양한 분석 방지 기법을 사용합니다. Zscaler는 샌드박스와 봇이 피싱 페이지에 도착할 수 없도록 하는 사전 예방적 클라이언트 측 필터를 사용하여 이를 관찰했습니다.
버전 4 은 이를 한 단계 더 발전시키고 모든 데스크톱 사용자 에이전트를 거부하는 모바일 전용 정책을 사용합니다. 또한 이 키트에는 대상 피해자만 피싱 페이지로 이동하도록 하기 위해 허용된 국가 목록이 포함되어 있습니다.
스테이트풀니스
BlackForce의 이후 버전은 상태 비저장 공격 모델에서 상태 저장 공격 모델로 이동하기 때문에 이전 버전과 차별화되었습니다. 버전 4 및 5에서 키트는 브라우저의 sessionStorage 를 사용하여 상태 저장 세션을 생성하고 키트가 공격 전반에서 자격 증명을 기억할 수 있도록 합니다.
C2 통신
C2 패널은 피해자가 피싱 페이지에 도착한 후 데이터를 도난당할 때까지 작업을 제어하는 데 사용됩니다. 패널에 방문자를 식별하고, 피해자 데이터를 훔치고, 피싱 세션의 흐름을 관리하고, 공격을 관리하는 기능을 포함한 몇 가지 기능이 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
BlackForce 키트는 피싱이 버전 관리, 기능 업그레이드 및 고객 지원과 함께 고도로 전문화된 서비스 모델로 진화한 방법을 보여줍니다.
이 예는 또한 공격자가 이제 자동 탐지 및 연구자 분석에 적극적으로 대응하여 위협 인텔리전스 및 자동 방어의 기준을 높이는 방법을 보여줍니다.
잉크 드래곤, 새로운 공격 시작
Check Point Research 는 IIS 및 SharePoint 취약점을 사용하여 공용 서버를 침해한 다음 내부로 이동하여 자격 증명을 수집하고 권한을 확대하는 중국 연결 사이버 스파이 그룹인 Ink Dragon이 수행하는 새로운 공격 파도에 대한 통찰력을 공유하고 있습니다.
[전체 네트워크를 침해하기 전에 공격자를 추적에서 차단하고 내부 이동을 방지하는 방법 알아보기]
잉크 드래곤은 사용자 지정 ShadowPad 모듈을 사용하여 피해자 인프라에 은밀한 릴레이 네트워크를 구축하여 여러 환경에서 은밀한 명령 및 제어와 장기적인 액세스를 가능하게 하는 것으로 관찰되었습니다.
초기 액세스
Check Point에 따르면 공격자는 일반적으로 공개된 시스템 키를 사용하여 ASP.NET 직렬화를 악용합니다.
또한 공격자는 초기 액세스를 위해 SharePoint ToolShell 취약성을 남용하는 것으로 관찰되었습니다.
측면 이동
Ink Dragon은 웹 서버를 손상시키고, 권한 있는 IIS 자격 증명에 액세스하고, 활성 관리자 세션에 대한 가시성을 확보한 후 두 가지 주요 이점을 활용합니다.
IIS 자격 증명을 사용하면 공격자는 IIS 작업자 프로세스 실행에서 전체 시스템 제어로 에스컬레이션하고, RDP 터널 또는 예약된 작업을 통해 지속성을 설정하고, 최소한의 탐지로 다른 서버로 측면으로 피벗할 수 있습니다. 내부에서 기본 프로토콜(예: SMB)을 사용하여 ShadowPad 또는 FinalDraft와 같은 임플란트를 배포하여 스텔스를 유지하기 위해 합법적인 이름으로 서비스를 위장합니다.
지속성
Check Point는 로더를 실행하기 위해 양성으로 보이는 이름을 가진 예약된 작업과 여러 시스템에 서비스를 설치하는 것을 포함하여 지속성과 관련하여 두 가지 패턴을 관찰했습니다.
권한 에스컬레이션
잉크 드래곤은 악용과 자격 증명 도난의 조합을 사용하여 전체 도메인 제어로 측면 이동합니다. 공격자는 로컬로 권한을 에스컬레이션하고, LSASS 및 레지스트리 두드러기를 덤핑하고, 토큰을 재사용하기 위해 유휴 관리자 RDP 세션을 하이재킹하는 것을 관찰합니다.
송신 활성화
Check Point에서 언급했듯이, Ink Dragon은 “광범위한 아웃바운드 트래픽을 허용하도록 호스트 방화벽 규칙을 수정하고 침해된 호스트를 제한 없는 유출/프록시 노드로 효과적으로 전환했습니다.”
릴레이 네트워크 구축
Check Point는 이 위협 범죄자가 “침해된 조직을 분산된 ShadowPad 릴레이 네트워크 내의 기능 통신 노드로 적극적으로 전환”하고 있음을 발견했습니다.
Ink Dragon은 사용자 지정 ShadowPad IIS Listener 모듈을 사용하여 침해된 서버를 분산 릴레이 네트워크 내의 비공개 통신 허브로 전환합니다. 정상적인 IIS 트래픽과 혼합되는 숨겨진 HTTP(S) 엔드포인트를 동적으로 등록함으로써 임플란트는 요청을 차단하고, 페이로드를 해독하며, 외부 및 내부 노드 간의 명령을 릴레이하여 진정한 C2 원본을 숨기고, 측면 피벗팅을 가능하게 하며, 탐지를 매우 어렵게 하는 피해자 인프라의 멀티홉 메시를 효과적으로 생성합니다.
도구 및 사후 활용
체크포인트에 따르면 잉크 드래곤은 다음과 같은 다양한 추가 도구를 활용하고 있습니다.
- ShadowPad 로더
- 메모리 상주 페이로드 실행을 위한 CBDLoader
- LSASS 덤프 추출용 LalsDumper
- 호스트 종속 페이로드 로더로서 032Loader
- 최종장기 스파이 활동과 클라우드인 초안 C2
피해자
잉크 드래곤은 주로 정부 조직을 대상으로 하지만 다른 부문도 표적으로 삼고 있습니다.
Ink Dragon은 동남아시아와 아프리카의 피해자를 대상으로 전 세계적으로 사업을 운영하며 최근 유럽으로 확장하고 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Ink Dragon은 데이터를 훔치는 것뿐만 아니라 합법적인 행동을 모방하는 은밀한 기법을 사용하여 엔터프라이즈 환경에 깊이 삽입하는 고도로 훈련되고 주에서 조정된 공격자를 나타냅니다.
피해자 서버를 은밀한 중계 노드로 전환하고 신뢰할 수 있는 클라우드 API를 남용함으로써 탐지 및 억제를 매우 어렵게 만듭니다. 즉, 단일 발판이 장기적인 네트워크 간 침해로 발전할 수 있습니다. 이 공격자는 기존 APT 활동과 최신 엔터프라이즈 현실의 융합을 잘 보여줍니다.
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
