최신 인텔리전스 라운드업에서 CTI는 OpenAI의 인기 있는 ChatGPT 애플리케이션을 수익화하려는 최근의 사이버 범죄를 조사합니다. 관찰된 악성 활동은 Windows 및 Android 멀웨어 배포에서 피싱 및 사기성 결제 페이지에 이르기까지 다양합니다. 다음으로, CTI는 공격자가 자동화를 활용하여 단 몇 시간 만에 수천 개의 스팸 패키지를 생성하는 캠페인의 형태로 오픈 소스 소프트웨어 저장소가 직면한 또 다른 위협을 탐색합니다. 마지막으로, CTI는 Stealc이라는 새로운 정보 스텔러를 분석합니다. 이 스텔크는 개발자가 완전히 기능하고 바로 사용할 수 있는 스텔러로 기술한 다크 웹에서 판매를 위해 광고되는 것이 최근에 발견되었습니다.
1. 해커는 가짜 ChatGPT 앱을 사용하여 Windows, Android 멀웨어를 푸시합니다
공격자들은 OpenAI의 ChatGPT 챗봇 (새 탭에서 열림) 을 악용하여 Windows 및 Android용 멀웨어를 배포하고, 가짜 소셜 미디어 페이지를 사용하여 피해자를 피싱 페이지로 리디렉션하기 시작했습니다.
ChatGPT: 재교육
ChatGPT was launched in 2022년 11월 and has gained immense traction since; becoming what BleepingComputer describes as the most rapidly growing consumer application in modern history, with more than 100 million users by 2023년 1월. 인공지능(AI) 연구 개발 회사인 OpenAI가 개발하고 출시한 ChatGPT는 매우 효과적인 머신 러닝 모델을 기반으로 하는 챗봇입니다.
공개 출시 직후, ChatGPT가 악의적인 목적으로 사이버 위협 범죄자에 의해 남용되고 있는 사례를 설명하는 보고서가 등장하기 시작했습니다. 보안 연구원들은 ChatGPT와 관련된 악의적인 활동이 멀웨어 및 암호화 도구를 생성하고, 사기 활동을 촉진하고, 설득력 있는 피싱 이메일을 작성하는 데 사용된다고 보고했습니다.
부분적으로 OpenAI는 이러한 활동을 예상한 것으로 보였습니다. OpenAI 웹사이트의 \"AI의 악성 사용에 대한 준비 (새 탭에서 열림)\"라는 제목의 2018년 2월 20일블로그 게시물은 회사가 공동 저술한 연구 논문을 설명합니다.
악의적인 공격자가 AI 기술을 오용하는 방법과 이러한 위협을 예방하고 완화할 수 있는 잠재적 방법을 예측하는 문서를 공동 작성했습니다... AI는 많은 기존 공격을 수행하는 비용을 절감하고, 새로운 위협과 취약성을 생성하며, 특정 공격의 애트리뷰션을 더욱 복잡하게 만들기 때문에 글로벌 보안에 도전합니다.
ChatGPT의 전례 없는 성장으로 인해 결국 OpenAI는 도구 사용을 제한하여 가용성 문제 없이 챗봇을 사용하려는 사용자를 위해 매월 20 달러의 구독 계층을 시작했습니다.
지속적인 가용성으로 인해 새로운 문제 발생
ChatGPT에 대한 무제한 액세스에 대한 이러한 새로운 제한은 예상치 못한 상황을 생성했습니다. 이는 새로 생성된 프리미엄 ChatGPT 계층에 대한 중단 없이 무료 액세스를 약속함으로써(거짓으로) 피해자를 유인함으로써 툴의 인기를 활용하려는 위협 범죄자에게 완벽한 조건을 만들었습니다.
이러한 오퍼는 궁극적으로 의심스러운 피해자에게 악성코드를 배포하거나 공격자에게 계정 자격 증명을 제공하도록 설득하는 것을 목표로 합니다.
이 방법론의 예를 가장 먼저 알아차린 사례 중 하나는 보안 연구원 Dominic Alvieri였습니다. Dominic Alvieri는 도메인 “chat-gpt-pc.online”이 방문자를 Redline 정보 유출 악성코드로 감염시키는 데 사용되어 ChatGPT Windows 데스크톱 클라이언트의 다운로드로 가장하는 것을 관찰했습니다. 이 웹사이트는 사용자가 악성 사이트로 리디렉션되도록 속이기 위해 공식 ChatGPT 로고가 있는 Facebook 페이지를 통해 광고되고 있었습니다. Google Play 및 타사 Android 앱 스토어에서 유사한 프로모션이 관찰되었으며, 각각은 악성 소프트웨어를 배포합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“챗봇의 프로필이 증가함에 따라 애플리케이션을 활용하여 멀웨어 및 피싱 공격을 개시하려는 위협 범죄자의 수도 증가하고 있습니다. 지하 시장에 등장하는 게시물의 수, 설득력 있는 피싱 캠페인을 시작하거나 멀웨어를 개선하는 데 있어 비숙련 해커를 지원하기 위해 설계된 ChatGPT 인터페이스를 판매하는 것 또한 ChatGPT의 성공에 대응하여 기하급수적으로 증가했습니다. 이는 사이버 범죄 분야에 진입하려는 저정교 해커와 관련하여 진입 장벽을 더욱 낮추는 데에만 도움이 됩니다.”
2. 공격자는 피싱 링크가 포함된 15.000 개 이상의 스팸 패키지로 NPM 저장소를 넘깁니다.
Checkmarx의 연구자들은 단 몇 시간 내에 여러 사용자 계정에서 NPM 오픈 소스 저장소 (새 탭에서 열림)에 업로드된 수천 개의 스팸 패키지 가 급증하는 것을 발견했습니다.
조사 결과 패키지가 자동화된 프로세스를 사용하여 생성된 것으로 밝혀졌습니다. 패키지에는 자체 생성에 사용된 것과 동일한 자동화 코드가 포함되어 있으며, 연구자들은 이 코드가 위협 범죄자가 오류로 업로드했을 가능성이 높다고 생각합니다.
검색 정보
Checkmarx는 데이터베이스와 새로운 정보를 교차 참조할 2023년 2월 20일때 의 NPM 에코시스템에서 이상을 발견했습니다. 연구자들은 많은 양의 새로운 패키지가 NPM에 게시되었음을 발견했다. 이러한 패키지는 공격자가 피싱 캠페인에 대한 링크가 포함된 패키지로 오픈 소스 리포지토리를 스팸으로 보내는 인기 있는 공격 벡터의 일부인 것으로 밝혀졌습니다. 자동화된 프로세스는 NPM 및 관련 계정에서 15.000 개 이상의 패키지를 생성한 것으로 보입니다.
피싱 사이트
피싱 캠페인을 홍보하기 위해 공격자는 해킹, 치트 및 무료 리소스와 관련된 이름이 포함된 패키지를 사용했습니다. 패키지 이름 중 일부에는 사용자가 게임 치트와 팔로워 증가를 약속하는 피싱 링크를 클릭하도록 유인하는 “free-tiktok-Followers” 및 “free-xbox-codes”가 포함됩니다. 패키지의 설명 부분에는 다양한 피싱 사이트에 대한 링크가 포함되어 있습니다.
피싱 캠페인은 여러 도메인에 걸쳐 여러 개의 고유한 URL에 연결되었으며 각 도메인은 여러 경로에서 여러 피싱 웹 페이지를 호스팅합니다. 피싱 페이지는 다소 설득력이 있으며, 경우에 따라 피해자가 상호 작용하기로 선택하는 경우 메시지에 응답하는 가짜 대화형 채팅 옵션도 포함되어 있습니다.
피싱 페이지에는 데이터를 처리하고 약속한 선물을 생성하는 경향이 있는 가짜 흐름이 포함되어 있습니다. 이 프로세스는 대부분 실패했으며, 피해자는 인간 검증 단계의 단계에 들어가도록 요청받았습니다. 여기에는 사용자를 한 곳에서 다른 사이트로 추천하는 여러 사이트가 포함되었으며, 사용자에게 다양한 질문 및 설문조사에 응답하도록 요청했습니다. 많은 경우, 사용자는 합법적인 전자 상거래 웹사이트로 리디렉션됩니다.
공격자에 대한 추천 보상
연구자들은 스팸 패키지를 자동으로 생성하고 게시하는 것처럼 보이는 유사한 기능을 가진 유사한 Python 스크립트를 발견했습니다.
또한 자동화의 일부인 것처럼 보이는 다른 “helper.txt” 파일도 찾았습니다. 주목할 만한 파일 하나는 패키지 내 python 스크립트로, 패키지 출판물의 모든 단계를 포함합니다.
공격자가 콘텐츠를 게시할 수 있는 여러 뉴스 유사 사이트를 생성했거나 이에 대한 액세스 권한이 있는 것으로 보입니다. python 스크립트의 마지막 작업은 이러한 뉴스 유사 사이트의 관련 없는 게시물에 링크를 추가하는 것입니다. 이러한 링크는 공격자가 NPM 사이트에 게시한 패키지의 웹페이지로 직접 연결됩니다. 이를 위해 공격자는 '셀레늄' 파이톤 패키지를 활용하여 이러한 WordPress 사이트와 상호 작용합니다. 패키지 링크를 게시하기 전에 먼저 편집기로 인증해야 합니다.
연구자들은 이러한 스크립트의 업로드가 의도적이지 않다고 생각합니다. 이러한 믿음의 주요 지원은 스크립트에 WordPress 사이트 인증에 사용되는 자격 증명이 포함되어 있다는 사실입니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“이 이야기는 공격자가 얼마나 빨리 회전하여 최신 수익성 있는 공격 모델을 따라잡을 수 있는지 강조합니다. 오픈 소스 저장소에서 발견된 악성 패키지를 특징으로 하는 이전의 많은 공격은 규모가 더 작은 것으로 보이며, 이는 아마도 보다 수동적인 전달 방법을 나타냅니다. 이 캠페인에서 위협 범죄자는 이를 한 차원 높여 자동화에 시간과 노력을 투자하여 단기간에 15.000 개 이상의 패키지에 영향을 미치는 대규모 공격을 수행했습니다.”
3. 새로운 Stealc 악성코드가 광범위한 도용 기능으로 등장
사이버 보안 회사 SEKOIA.IO 최근 블로그 (새 탭에서 열림) 게시물은 새로운 정보 도용자인 Stealc의 신원을 자세히 설명합니다.
스텔크는 다크 웹에서 발견되었으며, Vidar, Raccoon, Mars 및 Redline 스텔러를 기반으로 모든 기능을 갖춘/사용 준비가 된 스텔러로서 위협 범죄자에 의해 제시됩니다. SEKOIA.IO 조사 결과 야생에 배포된 수십 개의 Stealc 샘플과 40 개 이상의 Stealc 명령 및 제어 서버가 발견되었습니다.
다크 웹의 스텔크
Stealc 정보 스텔러는 에 러시아어를 사용하는 지하 포럼에서 처음 광고되었습니다 2023년 1월 9일. 이 포럼에서 Plymouth가 이를 광고하는 위협 범죄자. 이 공격자는 새로운 악성코드와 광범위한 도용 기능에 대한 자세한 설명을 발표했습니다. 이 첫 번째 출판물 이후, Plymouth는 Stealc을 계속 광고하여 추가 채널을 통해 더 많은 대상에게 다가가려고 시도했습니다.
잠재적 고객의 신뢰를 얻기 위해 Plymouth는 사이버 범죄 포럼 사용자에게 ‘무료’ 악성코드 테스트를 제공했습니다. Plymouth는 .02이 필요합니다 주간 검사를 위한 비트코인 예치금(당시 약 $400 로 전환됨).
Plymouth는 결국 Stealc의 여러 버전을 출시하여 다른 포럼과 전용 텔레그램 채널에 Changelog를 게시했습니다. Plymouth의 출판물 일정은 Stealc이 여전히 적극적으로 개발 중임을 보여줍니다.
광고된 기능
다크 웹 광고를 기반으로 Stealc은 암호화폐 지갑, 데스크톱 암호화폐 지갑 및 이메일 및 메신저 소프트웨어와 같은 추가 애플리케이션의 정보를 위해 대부분의 웹 브라우저 확장 프로그램에서 민감한 데이터를 대상으로 합니다. 데이터 수집 구성은 공격자의 요구에 맞게 악성코드를 맞춤화할 수 있습니다.
Stealc는 공격자가 그래버 규칙과 일치하는 파일을 훔칠 수 있도록 사용자 지정 가능한 파일 그래버를 구현합니다. 또한 MaaS(Malware-as-a-Service)로 판매되는 정보 도용자에게 전통적인 로더 기능도 제공합니다. Stealc는 Chrome에서 Opera, Firefox에 이르는 여러 웹 브라우저를 대상으로 지정할 수 있습니다.
Stealc 관리 패널을 통해 공격자는 악성코드 구성을 설정하고, 도난된 데이터를 구문 분석/디스플레이/필터/정렬/분석하고, 로그를 다운로드할 수 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“스텔크가 인상적인 다양한 기능을 완벽하게 갖춘 인포스텔러라는 것은 놀라운 일이 아닙니다. 결국, 경쟁 악성코드 개발자는 서로에 대해 끊임없이 고군분투하고 있으며, 누가 가장 빠른 기능을 가진 스텔러를 생산할 수 있는지 확인하기 위해 경쟁하고 있습니다. 이는 일반적으로 다른 최상위 멀웨어 제품군에서 제외된 코드 기반에 새로운 멀웨어 균주를 구축하는 것을 포함합니다.”
“이 전통에서 Stealc 개발자는 이 악성코드가 Raccoon 및 RedLine과 같은 일부 유명 인포스텔러에 의존한다고 언급합니다. 지난 달에 등장했기 때문에 Stealc에 적용된 일관된 업데이트 스트림은 이 악성코드를 다른 경쟁 인포스텔러 와 동등하고 빠르게 구현하려는 개발자의 드라이브를 나타냅니다.”
“SEKOIA.IO 또한 Stealc에 대한 심층적인 기술 분석이 가까운 시일 내에 발표될 예정이며, 향후 더 많은 업데이트가 있을 예정이라고 언급했습니다.”
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
