이번 주에 Tanium CTI 팀은 조직을 표적으로 삼고 자격 증명을 훔치기 위해 SMS 기반 피싱을 지속적으로 사용하는 것에 대한 Cofense의 새로운 결과를 검토합니다. 다음으로 팀은 Node.js를 활용하여 멀웨어 및 기타 유해한 페이로드를 전달하는 여러 캠페인을 살펴봅니다. 마지막으로, 맬웨어를 전달하기 위해 기만적인 파일 변환기가 어떻게 사용되고 있는지 살펴봅니다.
공격자들은 소셜 엔지니어링을 사용하여 SMS를 계속 이용합니다
Cofense 보고서 (새 탭에서 열림)는 자격 증명을 훔치기 위해 조직을 표적으로 삼는 지속적인 SMS 기반 피싱을 보고합니다.
조사에서 Cofense는 수신자가 행동하고 피해자가 되는 것을 속이는 거짓 긴급성 또는 두려움을 야기하는 이러한 공격의 증가를 관찰했습니다.
[또한 읽기: 사이버 보안에서 소셜 엔지니어링이란 무엇입니까? 종합 가이드] (새 탭에서 열림)
SMS 메시지는 무엇을 말합니까?
이러한 공격은 의도한 수신자에게 전송되는 SMS 메시지로 시작됩니다. 메시지는 “주의” 및 “변경 사항을 확인하십시오”와 같은 문구를 사용하여 긴급성 또는 두려움을 생성하도록 제작되었습니다.
Cofense에 따르면, 위협 범죄자는 수신자로부터 행동을 유도하기 위해 “이것이 귀하가 아닌 경우, 티켓을 생성하려면 로그인하십시오”라는 문구를 포함했습니다.
악성 사이트는 어떻게 작동합니까?
수신자가 SMS 메시지의 링크를 클릭하면 Google을 통해 리디렉션되어 더 합법적으로 나타납니다. 거기서 최종 랜딩 페이지에 대한 추가 링크를 클릭해야 합니다.
마지막 랜딩 페이지는 ServiceNow의 로그인 페이지를 가장하고 사용자에게 자격 증명을 입력하도록 요청하는 피싱 페이지 (새 탭에서 열림) 입니다. 자격 증명이 입력되면 피해자는 가짜 다중 인증(MFA) 프롬프트를 표시하여 공격자에게 자격 증명과 MFA 정보를 모두 제공합니다.
[읽기 또한: 다중 인증(MFA)이 과감하게 적용됩니까?] (새 탭에서 열림)
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
이 조사는 이메일뿐만 아니라 SMS 메시지에서도 피싱을 경계해야 한다는 알림입니다.
거짓 절박감, 무언가를 클릭하려는 유혹, 예상치 못한 메시지를 포함하여 많은 징후가 동일합니다. 두 경우 모두, 공격자는 종종 신뢰감을 확립하고 인간의 감정을 놀려 시도할 것입니다.
Node.js 오용은 멀웨어 및 악성 페이로드 전달을 초래합니다
Microsoft는 Node.js를 활용하여 멀웨어 및 기타 악성 페이로드를 전달하는 여러 캠페인을 식별 했습니다(새 탭에서 열림).
가장 최근에는 암호화폐 거래 캠페인의 일환으로 Node.js를 활용하는 오늘날에도 여전히 운영 중인 악성 공격을 탐지했습니다. 캠페인은 사용자를 속여 합법적인 소프트웨어로 위장된 악성 설치 관리자를 다운로드하도록 하는 것을 목표로 합니다.
Node.js란 무엇입니까?
Node.js는 웹 브라우저 외부에서 JavaScript 코드를 실행하는 오픈 소스 JavaScript 런타임 환경입니다. 개발자는 종종 Node.js를 사용하여 서버 측 스크립팅을 수행하고 확장 가능한 네트워크 애플리케이션을 생성합니다.
악의적 전환 이해
Microsoft는 고객 환경에서 침해를 통해 Node.js 관련 멀웨어를 전달하는 것이 여전히 인기가 있음을 관찰했습니다. 이러한 악의적 행위는 피해자가 합법적인 소프트웨어로 위장된 멀웨어를 다운로드하고 설치하는 웹사이트를 방문하도록 유인합니다.
암호화폐 캠페인에서 광고는 피해자가 유해한 설치 관리자를 다운로드하도록 속이는 것을 목표로 합법적인 거래 플랫폼에서 온 것처럼 보이도록 설계되었습니다. 그러나 이 설치 관리자는 시스템 정보를 수집하고 지속성을 유지하기 위한 악성 DLL을 포함했습니다.
[또한 읽기: 이 온라인 사기에 거의 빠졌습니다. 기술 전문가도 참여할 수 있는 이유] (새 탭에서 열기)
Wix 기반 패키지 설치 관리자가 실행되면 WMI 쿼리를 통해 정보를 수집하는 DLL을 로드합니다. 또한 지속성을 보장하기 위해 예약된 PowerShell 명령 작업을 생성합니다. 피해자는 또한 합법적인 웹사이트를 표시하는 미끼 창이 표시됩니다.
악성코드가 탐지를 회피하는 방법
앞에서 언급한 예약된 작업은 PowerShell 명령을 실행하여 PowerShell과 현재 디렉터리가 스캔되지 않도록 제외하여 향후 PowerShell 실행에 경고가 발생하지 않도록 합니다.
이러한 유형의 멀웨어는 어떻게 데이터를 수집하고 유출합니까?
PowerShell 명령을 실행하여 원격 URL에서 스크립트를 가져오고 실행합니다. 이러한 스크립트는 Windows 정보, BIOS 정보, 시스템 정보 및 OS 데이터를 수집합니다.
Microsoft에 따르면 데이터는 “네스티드 해시 테이블에 구조화되고 JSON 형식으로 변환된 다음 HTTP POST를 사용하여 공격자의 명령 및 제어(C2) 서버로 전송됩니다.”
추가 PowerShell 스크립트가 실행되어 C2에서 아카이브 파일을 다운로드하고 추출합니다. 그런 다음 프록시 설정을 끄고 아카이브에서 JavaScript 파일을 시작합니다.
Node.js는 악성코드를 전달하는 데 어떻게 사용됩니까?
이전에 아카이브에서 다운로드한 Node.js 실행 파일은 JavaScript 파일을 실행합니다. 이렇게 하면 라이브러리 모듈을 로드하고, 연결을 설정하고, 장치에 인증서를 추가합니다.
Microsoft는 또한 인라인 JavaScript 실행과 관련된 Node.js 캠페인에서 등장하는 기법을 발견했습니다. 이 기술을 사용하면 악성 스크립트가 Node.js를 통해 실행되어 멀웨어를 배포합니다.
Microsoft는 사용자가 악성 코드를 복사, 붙여넣기 및 실행하도록 속이는 ClickFix 공격 (새 탭에서 열림)에서 이러한 인스턴스 하나를 관찰했습니다. 이 코드는 Node.js 바이너리를 포함하여 여러 구성 요소를 다운로드했습니다. 그런 다음 스크립트는 Node.js 환경을 사용하여 파일을 통하는 대신 명령줄에서 JavaScript를 실행할 수 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
이러한 발견은 공격자가 다른 인기 있는 스크립팅 언어의 사용을 완전히 중단했다는 의미가 아닙니다. 이제는 가끔 컴파일된 JavaScript를 활용하기도 합니다.
Microsoft는 Node.js 멀웨어 사용이 인기를 얻기 시작하면 공격자 기본 설정의 변화를 나타낼 수 있다고 지적했습니다. 또한 이는 공격자가 정상적인 활동과 혼합하기 위해 합법적으로 사용되는 애플리케이션을 찾고 활용하는 방법의 또 다른 예이기도 합니다.
항상 그렇듯이 Microsoft는 조직이 이 위협을 식별하는 데 도움이 되는 권장 사항 (새 탭에서 열기), 탐지(새 탭에서 열기) 및 헌팅 쿼리(새 탭에서 열기)를 포함했습니다.
가짜 PDF 변환기로 멀웨어 제공
악성코드를 전달하는 악성 파일 변환기에 관한 FBI 경고에 따라 CloudSEK는 위협 (새 탭에서 열림)을 조사했습니다. 이 보고서는 신뢰할 수 있는 서비스로 위장하지만 ArechClient2 개 악성코드를 전달하려고 하는 악성 문서 변환기와 관련된 공격을 분석합니다.
CloudSEK는 합법적인 파일 변환기인 “pdfcandy.com”을 모방하는 여러 악성 파일 변환 웹사이트를 식별했습니다. 이러한 사이트는 합법적인 사이트와 거의 동일하며 방문자에게 PDF 파일을 업로드하여 Word 형식으로 변환하도록 요청합니다.
가짜 PDF 변환기 멀웨어는 어떻게 작동합니까?
PDF가 업로드되면 사이트는 먼저 애니메이션 로딩 시퀀스를 표시하여 피해자가 파일이 처리되고 있다고 생각하도록 속입니다. 다음으로, 사이트는 피해자에게 CAPTCHA 확인 상자를 제공합니다. 이 단계를 완료한 후, 피해자에게 코드를 복사, 붙여넣기 및 실행하여 악성 페이로드를 트리거하도록 요청하는 대화 상자가 나타납니다.
또한 CloudSEK의 연구원들은 명령을 디코딩하고 악성코드 전달 프로세스를 가리는 리디렉션 체인을 식별했습니다. 이는 두 부분으로 작동합니다.
- 초기 연결은 단축된 링크로 위장된 URL을 대상으로 합니다. 이렇게 하면 악성 페이로드인 “adobe.zip”을 제공하는 악성 URL이 발생합니다.
- 악성 페이로드는 이전에 악성으로 플래그 지정된 IP 주소에 호스팅됩니다. zip 파일에 포함된 악성 실행 파일인 “audiobit[.]exe”는 ArechClient2 정보 스텔러의 실행을 초래하는 공격 체인을 트리거합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
이 공격은 악성 코드를 복사, 붙여넣기 및 실행하도록 요청하기 때문에 피해자의 상당한 양의 수동 상호작용에 의존합니다. 이 기법은 점점 더 인기가 높아지고 있으므로 배우가 계속 사용하는 경우 어느 정도의 성공을 거두어야 합니다.
이러한 인기 있는 위협의 몇 가지 징후에 대한 교육은 직원을 위한 보안 인식 교육 (새 탭에서 열기)에 쉽게 포함될 수 있습니다. 또한 CloudSEK에는 보고서 (새 탭에서 열기)에 도움이 될 수 있는 보호에 대한 몇 가지 권장 사항이 포함되어 있습니다.
[또한 읽기: CISO 성공 사례: 지루한 사이버 보안 교육을 위한 최선의 해결 방법] (새 탭에서 열기)
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 (새 탭에서 열림) 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업 (새 탭에서 열림)을 참조하십시오.
