이번 주 라운드업에서 CTI는 인프라 및 전술을 포함하여 서비스형 Sniper Dz 피싱(PhaaS) 플랫폼에 대한 개요를 제공합니다. 다음으로, CTI는 Elastic Security Labs의 2024 Global Threat Report의 주요 요점을 제공합니다. CTI는 또한 미국의 여러 조직이 Andariel(Stonefly)로 알려진 북한 정부 후원 범죄자의 표적이 되었다는 최근 증거를 살펴봅니다.
Sniper Dz, 소셜 미디어 및 온라인 서비스 타겟팅
Palo Alto는 Sniper Dz 서비스형 피싱(PhaaS ) 플랫폼(새 탭에서 열림)을 면밀히 모니터링하고 (새 탭에서 열림) 플랫폼의 인프라 및 전술에 대한 분석을 공유했습니다.
Palo Alto에 따르면, Sniper Dz는 인기 있는 소셜 미디어 플랫폼과 온라인 서비스를 표적으로 삼고 있으며 최소 140.000 개의 관련 피싱 웹사이트를 보유하고 있습니다.
Sniper Dz 플랫폼 자세히 보기
Sniper Dz 플랫폼은 공격자가 피싱 공격 (새 탭에서 열림) 을 쉽게 수행할 수 있게 해 줍니다. 관리자 패널이 공격자가 피싱 페이지를 신속하게 생성할 수 있게 해주기 때문입니다. 관리자 패널에 액세스하려면 공격자가 이메일 주소로 계정을 생성해야 합니다. 이 계정을 사용하면 다양한 브랜드와 사용자를 대상으로 하는 다양한 피싱 페이지에 액세스할 수 있습니다.
플랫폼에 액세스한 후 공격자는 공격을 시작하는 두 가지 방법을 가집니다.
- Sniper Dz 인프라에서 호스팅되는 피싱 페이지
- 다른 인프라에서 호스팅되는 다운로드 가능한 피싱 템플릿
Sniper Dz의 피싱 페이지/템플릿
이러한 전술을 통해 공격자는 사이트를 호스팅하기 위해 웹 서버를 설정할 필요가 없으며 피싱 페이지의 콘텐츠는 프록시 서버 뒤에 숨겨져 있습니다. 공격자가 인프라에서 다운로드 가능한 피싱 템플릿을 사용하는 경우, 많은 옵션이 있습니다.
[또한 읽기: 비즈니스 이메일 침해(BEC)란 무엇입니까? BEC 공격의 증가하는 비용에 대해 알아야 할 사항] (새 탭에서 열기)
인프라 및 전술
Sniper Dz는 공용 프록시 서버 뒤에 피싱 콘텐츠를 숨깁니다. 이 서비스는 합법적인 공용 프록시 서버 프록시메쉬[.]com을 남용합니다.
그룹은 프록시 서버를 구성하여 직접 통신 없이 피싱 콘텐츠를 자동으로 로드합니다. 이렇게 하면 브라우저가 프록시 서버를 피싱 사이트 로딩을 담당하는 것으로 보게 되므로 그룹은 백엔드 서버를 보호하는 데 도움이 됩니다.
또한 그룹은 Sniper Dz가 소유한 중앙 집중식 인프라로 피싱 템플릿 코드와 유출 자격 증명을 난독화합니다.
피해자 및 템플릿 추적
Sniper Dz는 내장된 사용자 지정 JavaScript 및 분석 서버의 도움을 받아 피해자를 추적합니다.
스크립트는 합법적인 분석 서버에서 트래커를 로드하여 인프라에 호스팅된 링크와 다른 인프라에 호스팅된 링크를 방문하는 피해자를 추적합니다.
Sniper Dz를 사용한 알려진 공격
Palo Alto는 2023년부터 Sniper Dz와 관련된 140.000 개 이상의 피싱 페이지를 발견했습니다.
이 그룹은 이 기간 동안 활성 상태를 유지했지만 2023년 말에 최고조에 달한 것으로 보입니다. Sniper Dz는 현재 텔레그램 채널에 7.156 명의 구독자를 보유한 수천 명의 고객을 보유하고 2024년 8월있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Palo Alto의 연구에 따르면 많은 공격자가 텔레그램 구독자 수와 인프라를 기반으로 Sniper Dz PhaaS 플랫폼을 활용할 수 있는 것으로 나타났습니다.
Telegram은 최근 개인 정보 보호 정책을 업데이트하면서 법원 명령에 따라 사용자의 전화번호와 IP 주소를 법 집행 기관과 공유할 것이라고 언급했습니다. 이러한 정책 변경으로 인해 위협 범죄자가 비즈니스를 마이그레이션할 수 있습니다.
즉, Sniper Dz와 같이 Telegram (새 탭에서 열림)에서 판매되는 악성 서비스가 Telegram 또는 다른 곳에서 계속 번창하는지 확인하는 것은 흥미롭습니다.
Elastic Security Labs, 2024 글로벌 위협 보고서 발표
Elastic Security Labs는 생성적 AI (새 탭에서 열림), 멀웨어, 엔드포인트 행동 및 클라우드 보안의 최신 사이버 보안 위협 및 동향을 포함하는 2024에 대한 글로벌 위협 보고서(새 탭에서 열림)를 발표했습니다.
세대 AI
Elastic은 위협 범죄자들이 몇 가지 방식으로 생성적 AI를 활용하는 것을 관찰했으며, 그 중 가장 분명한 것은 피싱 캠페인입니다. 당연히 공격자는 AI를 사용하여 운영을 확장하고 캠페인을 더욱 쉽게 개인화하여 소셜 엔지니어링 (새 탭에서 열림) 을 개선할 수 있습니다. 이러한 확장은 현재 딥페이크 (새 탭에서 열림)가 증가함에 따라 나타납니다.
공격자는 피싱 외에도 맬웨어 개발을 위해 AI를 활용하고 있습니다. 이는 아직 널리 채택되지 않았지만 서서히 증가하고 있습니다.
[또한 읽기: GenAI 배포 레이싱? 좋은 보안이 좋은 거버넌스에서 어떻게 시작되는지 알아보기] (새 탭에서 열기)
멀웨어 탐지
Elastic의 보고서는 또한 야생 및 표적 운영 체제에서 다양한 유형의 멀웨어를 탐색합니다. Windows는 여전히 최고 수준의 운영 체제입니다.
그들은 데이터를 분석하기 위해 악성코드 유형 및 범주에 대한 YARA 서명을 살펴보았습니다. 그들은 트로이 목마가 자신이 관찰한 대부분의 악성코드를 압도적으로 구성했음을 발견했습니다.
마지막으로, 멀웨어 패밀리를 살펴보면, 상위 패밀리는 Cobalt Strike (새 탭에서 열림) 와 Metasploit였습니다.
엔드포인트 동작
Elastic은 Windows, macOS 및 Linux에서 가장 일반적으로 관찰되는 전술, 기법 및 절차(TTP)를 살펴보았습니다. 이들이 관찰한 대부분의 엔드포인트 행동은 방어 회피와 관련이 있었으며, 관찰된 모든 전술의 38,99%를 차지하여 전년도 대비 6% 감소했습니다. 실행과 지속성은 약 30%의 합계로 다음 주요 전술이 되었습니다.
Windows의 가장 일반적인 기법은 프로세스 주입, 시스템 바이너리 프록시 실행 및 방어 기능 손상이었습니다. Linux의 경우 장애 방어가 가장 중요한 기법이었고, 파일 및 디렉터리 권한 수정이 그 뒤를 이었습니다.
마지막으로, 반사 코드 로드는 macOS의 최고 방어 회피 기술이었으며, 그 다음으로 신뢰 제어 및 표시기 제거를 역전시켰습니다.
클라우드 보안
Elastic은 조직이 여전히 클라우드 환경 (새 탭에서 열림)을 잘못 구성 하고/하거나 적절한 보안 보호를 구현하지 않아 위협 범죄자가 이러한 환경에서 번창할 수 있다고 판단했습니다.
이들이 관찰한 가장 일반적인 문제 중 하나는 스토리지와 관련이 있었으며, Azure 장애의 47%가 스토리지 계정과 연결되었고 AWS 장애의 약 30%가 S3 건의 수표에서 발생했습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Elastic의 보고서는 다른 많은 트렌드 보고서보다 더 깊이 들어가 특정 전술로 문제를 분석합니다.
가장 흥미로운 점 중 하나는 AI의 영향 또는 부족에 대한 Elastic의 의견이었습니다.
인공 지능 기능은 환경을 더 좋거나 더 나쁘게 변화시키지 않았습니다. 새로운 위협이 폭발적으로 증가하지 않았고 모든 위협이 제거된 이점을 창출하지 못했습니다.
이는 AI가 일반적으로 논의되고 (새 탭에서 열림) 공격자에게 이점을 제공할 수 있지만, 위협 환경에서 AI가 폭발적으로 채택되는 것은 아직 볼 수 없습니다.
Andariel, 미국 조직에 대한 금융 공격 개시
Symantec은 최근 북한의 Andariel 그룹이 미국의 여러 조직을 표적으로 삼았다는 증거 (새 탭에서 열림)를 발견 했습니다.
Symantec에 따르면, 공격자는 이러한 피해자에게 랜섬웨어 (새 탭에서 열림)를 배포 하지 못했습니다. 공격은 이 공격자가 최근 기소의 대상임에도 불구하고 공격을 계속 수행함을 나타냅니다.
Andariel은 누구입니까?
Andariel 그룹은 북한 군사 정보 기관인 Reconnaissance General Bureau(RGB)와 연결되어 있습니다.
이 범죄자는 2009 년에 여러 한국, 미국 정부 및 금융 웹사이트에 대해 DDoS 공격 (새 탭에서 열림) 을 수행했을 때 처음 등장했습니다.
속성
Symantec은 Andariel 그룹이 특히 미국 조직에 대한 재정적인 의욕을 가진 공격을 계속 수행하고 있다고 판단했습니다.
여러 공격에서 공격자는 이전에 이 그룹에 귀속되었던 사용자 지정 악성코드인 Backdoor.Preft를 배포했습니다. 또한 이 공격은 Microsoft가 이전에 Andariel 공격에서 식별한 몇 가지 침해 지표를 뒤쳐두었습니다.
년 2024년 7월미국 법무부는 최근 안다리엘 공격과 관련된 혐의로 북한 개인을 기소했습니다. 해당 개인은 2021 ~2023 세(새 탭에서 열림) 사이의 미국 병원 및 기타 기관을 강요하고, 몸값을 세탁하고, 이러한 수익을 사용하여 전 세계 방위, 기술 및 정부 부문에 대한 기타 사이버 공격에 자금을 지원하는 데 관여하고 있습니다.
이러한 후속 공격의 일부 표적에는 두 개의 미국 공군 기지와 NASA-OIG가 포함됩니다.
Andariel은 어떤 도구를 사용합니까?
언급한 바와 같이, 이 공격자는 일반적으로 파일을 다운로드하고, 파일을 업로드하고, 명령을 실행하고, 추가 플러그인을 다운로드할 수 있는 다단계 백도어인 Preft라는 멀웨어를 활용합니다.
또한 공격자는 스크린샷 기능이 추가되었지만 유사한 기능을 가진 Nukebot이라는 추가 백도어를 사용합니다. 이 도구의 소스 코드는 이전에 유출되었으며, 이는 이 공격자가 도구에 액세스한 방식일 가능성이 높습니다.
공격자는 또한 악성 배치 파일, Mimikatz, 키로거, Sliver, Chisel, PuTTY, Plink, Megatools, Snap2HTML 및 FRP와 같은 보다 일반적인 도구를 사용하여 관찰됩니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Symantec은 다음과 같이 지적합니다.
구성원 중 한 명을 기소한 것은 아직 활동이 중단되지 않았습니다.
만약 있다면, 기소로 인해 그룹이 활동을 계속하도록, 특히 미국을 상대로 한 것으로 보입니다. 이 그룹은 10년 이상 지속되어 왔으며 여러 형태의 혼란을 겪고 있습니다. 그리고 이 그룹이 한동안 계속 번영할 가능성이 높습니다.
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 (새 탭에서 열림) 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업 (새 탭에서 열림)을 참조하십시오.
