이번 주에 CTI는 실크 태풍으로 알려진 중국 스파이 그룹을 조사합니다. 이 그룹은 현재 초기 액세스를 위한 IT 솔루션을 목표로 하고 있습니다. 다음으로, CTI는 공격자가 실제 메일을 통해 임원에게 가짜 몸값을 보내는 캠페인을 검토합니다. 마지막으로, CTI는 수정된 Havoc Demon 에이전트를 배포하기 위한 ClickFix 스타일 피싱 캠페인 (새 탭에서 열림) 을 탐색합니다.
실크 태풍의 전술 변화
Microsoft는 최근 중국 스파이 조직인 Silk Typhoon 그룹에 의한 표적 및 전술, 기법 및 절차(TTP)의 변화를 관찰했습니다 (새 탭에서 열림). 이 그룹은 초기 액세스를 위해 원격 관리 도구 및 클라우드 애플리케이션을 포함한 일반적인 IT 서비스를 대상으로 초점을 리디렉션하고 있습니다.
예를 들어, 그룹은 유출된 API 키 및 자격 증명, 특히 권한 액세스 관리(PAM), 클라우드 앱 공급자 및 클라우드 데이터 관리 회사와 관련된 API 키 및 자격 증명을 남용하여 공급망 (새 탭에서 열기)을 침해합니다.
또한 이 그룹은 침해된 공급망에 더 침투하고 이를 악용할 수 있는 몇 가지 도난 후 조치를 취하는 것이 관찰되어 다음과 같은 여러 조직에 광범위한 영향을 미쳤습니다.
- 다운스트림 고객 또는 테넌트 액세스
- 스파이 활동을 위한 정찰을 수행하기 위해 액세스 사용
- 기본 관리자 계정 재설정
- 웹 쉘 삽입
- 추가 사용자 생성
Microsoft에 따르면 다운스트림 활동의 피해자는 주로 주 및 지방 정부 (새 탭에서 열림) 와 IT 부문과 관련이 있었습니다.
실크 태풍이란?
Silk Typhoon은 최소 2020년부터 활동해 온 중국 사이버 스파이 그룹입니다. 이 그룹은 Microsoft에 따르면 “에지 장치에서 발견된 제로데이 취약점 (새 탭에서 열림) 에 대한 익스플로잇을 신속하게 운영”하는 것으로 알려져 있습니다.
이전에는 하프늄으로 추적된 이 그룹은 주로 기술 (새 탭에서 열기), 정부 기관 등을 포함한 다양한 부문의 미국 내 조직을 대상으로 합니다.
마이크로소프트가 언급한 바와 같이, 이 그룹은 매우 정교하며 “중국 공격자들 사이에서 가장 큰 표적 발자국 중 하나를 보유하고 있다”고 밝혔습니다. 광범위한 표적은 주로 취약성 스캔 작업에서 잠재적 피해자를 선택하는 것과 관련된 그룹의 기회주의적 접근 방식의 결과입니다. 이 그룹은 클라우드 환경에서 성공적으로 운영할 수 있는 능력을 통해 클라우드 환경에 대한 이해를 입증했습니다.
비밀번호 분무 및 남용
또한 Microsoft는 이 공격자가 암호 스프레이 공격 및 기타 암호 관련 기술을 통해 초기 액세스를 얻는 것을 관찰했습니다.
[읽기 또한: 비밀번호 보안에 대한 새로운 생각이 놀라울 수 있습니다] (새 탭에서 열기)
공격자는 유출된 기업 비밀번호를 사용하여 정찰 활동을 수행합니다.
최근 TTP
최근의 실크 태풍 공격에서 공격자는 제로데이 익스플로잇을 생성하거나 취약한 서비스 인스턴스를 식별하고 표적으로 삼아 초기 액세스를 얻습니다. 공격자는 IT 제공업체, ID 관리 (새 탭에서 열림), 권한 있는 액세스 관리 및 RMM 솔루션을 대상으로 하는 데 집중하는 것으로 보입니다. 년에 2025년 1월Microsoft는 이 범죄자가 Ivanti의 Pulse Connect VPN에서 제로데이를 특별히 악용하는 것을 관찰했습니다.
공격자는 초기 액세스 권한을 얻은 후 일반적인 전술을 사용하여 온프레미스에서 클라우드로 이동하는 것으로 알려져 있습니다. 이를 위해 공격자는 Active Directory (새 탭에서 열림)를 덤프하고, 키 저장소의 암호를 훔치고, 권한을 확대하는 것을 관찰합니다. 또한 Microsoft는 이 공격 단계에서 Microsoft AADConnect 서버(Entra Connect)를 표적으로 삼는 공격자를 목격했습니다.
그룹은 MSGraph를 통해 이메일, OneDrive 및 SharePoint 데이터를 유출하기 위해 서비스 주체 및 OAuth 애플리케이션을 남용하는 것으로 관찰되었습니다. 또한 Microsoft는 Silk Typhoon이 다중 테넌트 애플리케이션을 침해한 사례를 관찰했습니다. 또한 이 그룹은 은밀한 네트워크를 활용하여 악성 활동을 숨기는 것으로 알려져 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
한 가지 중요한 점은 공격자가 다운스트림 고객이 있는 조직을 표적으로 삼는 것이 얼마나 유익한지 깨닫고 위협을 크게 증가시킨다는 것입니다.
게다가 실크 태풍은 전용 인프라를 사용하지 않습니다. 대신, 그룹은 침해된 네트워크, 프록시 등을 사용하여 악성 활동을 합법적인 작업과 쉽게 혼합할 수 있습니다. 이는 그룹의 기회 포착과 결합되어 실크 태풍을 확실히 지켜볼 수 있게 합니다. 또한 다른 배우들이 실크 태풍의 표적과 TTP를 반영하기 시작할 수도 있습니다.
Microsoft는 관련 활동을 식별하는 데 도움이 될 수 있는 유용한 권장 사항 (새 탭에서 열림), 헌팅 지침, 쿼리 및 다양한 Defender 경고를 공유했습니다.
[또한 읽기: 위협 헌팅이란 무엇입니까? 실제 사례 개요] (새 탭에서 열기)
공격자는 물리적 몸값을 사용하여 경영진을 표적으로 삼습니다
GuidePoint Security는 물리적 우편을 통해 전달되는 가짜 몸값 메모와 관련하여 여러 조직으로부터 여러 보고서 (새 탭에서 열림)를 받았습니다 . 이러한 서신은 미국 주소에서 임원에게 전송되며 디지털로 수신된 몸값 메모에 종종 포함된 세부 정보를 포함합니다.
가짜 몸값 편지에는 무엇이 있습니까?
각 서신의 내용은 일반적으로 침해된 장치에 드롭된 몸값 메모와 같습니다. 서신의 첫 번째 부분은 공격자가 피해자의 기업 시스템에 액세스하여 민감한 정보를 서서히 유출하고 있다고 명시합니다. 대부분의 랜섬 노트와 마찬가지로 이 서신은 수령인에게 지불을 요청합니다. 이 경우 결제는 비트코인 형태로 요청되며 지갑 주소가 있는 QR 코드가 포함됩니다. GuidePoint는 250.000 ~350.000달러의 몸값을 요구합니다.
물리적 엔벨로프는 “TIME SENSITIVE READ IMMEDILY”로 표시되며 아메리칸 플래그 Forever 스탬프를 포함합니다.
랜섬 노트 표시기
서신의 작성자는 BianLian 그룹과 관련이 있다고 주장 합니다(새 탭에서 열림). 그러나 가이드포인트는 이 서신이 합법적인 BianLian 그룹에서 유래하지 않았다고 생각합니다.
가장 의심스러운 지표는 랜섬웨어 그룹이 물리적 몸값을 보낸 것이 처음이라는 사실입니다. 또한, 서신의 실제 문구 및 내용은 BianLian이 이전에 보낸 몸값 노트와는 다르며, 이 메모는 거의 완벽한 영어 및 복잡한 문장 구조를 가지고 있습니다.
또 다른 주목할 만한 차이점은 이 편지는 몸값을 협상하거나 이메일 또는 다크 웹을 통해 공격자와 연결할 수 있는 방법을 제공하지 않는다는 것입니다. 마지막으로, GuidePoint는 비트코인 지갑 주소가 새로 생성되었으며 이전에 어떤 그룹에도 연결되지 않았다고 보고합니다.
[읽기 또한: 랜섬웨어 협상 기술] (새 탭에서 열기)
가장 중요한 점은 GuidePoint가 “이러한 서신이 전달되는 것을 본 경우, 랜섬웨어 운영을 반영하는 알려진 또는 의심되는 침입 활동을 관찰하지 못했다”고 언급하는 것입니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
공격자들이 물리적 메일을 통해 메모를 보내는 것과 같이 매우 기본적이고 오래된 기법으로 다시 돌아가는 것을 보는 것은 이상합니다. 일반적으로 공격자는 장치에 연결할 때 멀웨어를 로드하는 물리적 메일을 통해 USB를 전송합니다.
이 흥미로운 개발에서 공격자는 실제 악성 콘텐츠 대신 물리적 메일을 통해 소셜 엔지니어링 콘텐츠 (새 탭에서 열림)를 전송합니다. 그러나 이것은 클래식에 대한 반전이 아닐 수 있으며, 대신 다른 공격자는 단지 잘 알려진 랜섬웨어 작업인 것처럼 가장할 수 있습니다.
현재, BianLian 랜섬웨어 작업이 이러한 서신을 보내고 있다는 확인은 없습니다. 이것은 단순히 정상적인 공격의 기술적으로 정교한 측면을 실행할 필요 없이 빠른 비용을 벌려고 시도하는 또 다른 위협 범죄자일 수 있습니다.
해커는 ClickFix 트릭을 사용하여 수정된 Havoc Demon 에이전트를 배포합니다
Fortinet은 수정된 Havoc Demon 에이전트를 배포하려고 시도하는 ClickFix 스타일 피싱 캠페인을 발견했습니다 (새 탭에서 열림).
이 캠페인을 차별화하는 것은 공격자가 SharePoint를 사용하여 악성코드의 각 단계를 숨기고 Microsoft Graph API를 사용하여 C2 통신을 원활하게 통합한다는 것입니다.
초기 액세스
Fortinet에 따르면 공격은 HTML 파일 첨부 파일이 포함된 기존 피싱 이메일에서 시작됩니다. 이메일 자체는 첨부된 통지를 보지 않을 경우 “운영상의 어려움”에 직면할 수 있다고 수신자에게 말함으로써 긴박감을 생성합니다. 첨부된 파일인 Documents.html은 일반적인 ClickFix 공격입니다 (새 탭에서 열림). 피해자가 악성 PowerShell을 복사, 붙여넣기 및 실행하도록 속이는 가짜 오류 메시지가 있습니다.
페이로드
PowerShell 스크립트인 페이로드는 SharePoint 내에서 호스팅됩니다. 피해자가 이 스크립트를 실행하면 이름에서 “zr_”로 시작하는 “HKCU:\Software\Microsoft”에서 레지스트리 키를 삭제하기 전에 먼저 샌드박스 환경에서 실행 중인지 확인합니다.
그런 다음 지정된 속성을 감염 마커로 추가합니다. 스크립트는 Python 해석기인 python.exe가 장치에 있는지 확인하고 원격 Python 스크립트를 획득 및 실행하기 위해 이동합니다. 이는 피해자에게 의심을 제기하지 않도록 숨겨진 창에서 실행됩니다.
셸코드 로더
Fortinet은 Python 스크립트도 SharePoint에서 호스팅되고 디버그 정보가 포함되어 있으며 러시아어로 작성되어 있다고 언급합니다. 이 스크립트는 셸코드 로더로 작동하며 터미널에서 Python 해석기를 통해 실행됩니다.
“KaynLdr”이라는 GitHub 셸코드 로더는 내장된 DLL을 반사적으로 로드합니다. 주요 목적은 수정된 DJB2 알고리즘을 사용하는 API 해싱과 매핑 및 메모리 할당을 위해 해결된 ntdll API를 사용하기 때문에 분석을 복잡하게 만드는 것입니다.
Havoc Demon DLL 소개
Havoc은 레드팀 업무 (새 탭에서 열기)에서 일반적으로 사용되는 오픈 소스 C2 프레임워크입니다.
이 경우 공격자는 Havoc을 Microsoft Graph API와 결합하여 C2 통신을 숨깁니다. 공격자는 수정된 Havoc Demon DLL과 Graph API를 활용하여 SharePoint 사이트의 파일을 초기화하는 두 번째 기능을 사용합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
ClickFix 스타일의 공격이 피해자와의 상호작용에 크게 의존하면서 점점 더 인기를 얻고 있다는 것은 흥미로운 일입니다. 피해자는 피싱 이메일을 사용하여 속일 뿐만 아니라 악성 PowerShell을 계속 복사, 붙여넣기 및 실행해야 합니다.
이 특정 공격은 또한 Microsoft Graph API 및 SharePoint와 같은 합법적인 서비스를 활용하는 또 다른 인기 있는 전술을 사용합니다. 이러한 합법적이고 친숙한 출처는 더 높은 성공률에 기여할 수 있습니다.
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 (새 탭에서 열림) 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업 (새 탭에서 열림)을 참조하십시오.
