이번 주 첫 번째 라운드업은 블록체인 분석 회사인 Chainalysis가 수집한 2022의 최신 랜섬웨어 관련 인사이트를 분석한 것입니다. 다음으로, CTI 는 중앙 정보 기관(CIA)의 Hive 프로젝트에서 기능을 빌려주는 새로운 백도어에 대해 자세히 살펴봅니다. 마지막으로, 중국의 공격자 백도어 외교에 의한 최근의 공격 파도와 Unit42의 보고서를 살펴보면서 마무리 합니다. 이 보고서는 이란 정부 도메인에 속하는 시스템이 이전에 위협 범죄자와 관련된 것으로 식별된 악성코드 인프라에 연결하려고 시도하는 것을 관찰했다고 주장합니다.
1. 랜섬웨어 수익은 피해자가 지불을 거부함에 따라 2022 명 중 40% 감소
Year-end reporting from blockchain analytics company Chainalysis reveals that ransomware gangs successfully extorted roughly $456,8 million from victims in 2022 — a drop of about 40% compared to the record-setting $756 million pilfered from ransomware victims in the previous two years.
캠페인을 시작하기 전에 Chainalysis는 아직 식별되지 않았고 회사 데이터에 통합되지 않은 랜섬웨어 갱이가 제어하는 암호화폐 주소가 항상 있기 때문에 실제 총계가 훨씬 더 높을 수 있음을 상기시킵니다.
Chainalysis에 따르면, 수익의 하락 추세는 랜섬웨어 공격 빈도가 감소했기 때문이 아니라 갈취자의 요구에 응하기를 거부하는 피해자의 수가 증가했기 때문입니다.
2022년의 일반적인 랜섬웨어 트렌드
랜섬웨어는 여전히 활발합니다
랜섬웨어 수익이 감소했음에도 불구하고, 2022 건은 전반적인 랜섬웨어 활동 측면에서 가장 활동적인 연도 중 하나로 보고되었습니다. 수천 가지의 다양한 파일 암호화 악성코드 균주가 거의 모든 버티컬에 걸쳐 모든 규모의 조직을 표적으로 삼았으며, 2022 개는 여러 개의 최상위 갈취 신디케이트가 은퇴하거나, 새로운 운영으로 분할되거나, 단순히 리브랜딩을 통해 광범위한 새로운 랜섬웨어 운영이 등장하는 것을 보았습니다.
고유한 랜섬웨어 균주의 폭발
2022 은 운영 중인 고유한 랜섬웨어 변종 수가 크게 증가했습니다. 사이버 보안 회사인 Fortinet은 10.000 unique 개 이상의 균주 가 2022 개 중 상반기에만 활성화되었다고 보고합니다. Chainalysis는 활성 균주의 수가 최근 몇 년 동안 크게 증가했음을 언급하는 이 평가를 확인합니다.
그러나 랜섬웨어 수익의 대부분은 매우 효과적인 랜섬웨어 운영의 소규모 그룹에 의해 지속적으로 증가하는 것으로 보입니다. 그러나 이 \"업계 리더\" 그룹이 여전히 년과 년을 기준으로 동일한 운영으로 구성되고 있다고 말할 수는 없습니다. Chainalysis는 일 년 동안 매출이 가장 높은 균주 중에서 상당한 이직률을 관찰한 것으로 보고했습니다.
자금 세탁 전술의 거의 변화 없음
Chainalysis의 데이터에 따르면 대부분의 랜섬웨어 공격자는 지속적으로 불법 수익을 중앙 집중식 주류 교환으로 전송합니다. 이러한 추세는 몇 가지 이상치 외에도 최소 2018년 이후 거의 변하지 않는 것으로 보입니다. 2022년에 랜섬웨어 공격자가 선택한 자금 세탁 방법과 관련하여 갈취범들은 다음과 같은 리소스와 전술에 의존했습니다.
- 덜 위험한 거래소: 고위험 거래소로 보내진 랜섬웨어 수익은 2022년에 10,9%에서 6,7%로 감소했습니다.
- 불법 서비스 감소: 다크넷 시장과 같은 불법 서비스를 통해 세탁된 수익 또한 2022년에 몇 퍼센트 포인트 감소했습니다.
- More mainstream exchanges: 2022 saw ransomware gangs increase reliance upon mainstream exchanges for purposes of money laundering, from 39,3% in 2021 to 48,3% last year.
- 더 많은 다각화: 또한 작년에는 정리할 서비스의 조합으로 전송되는 수익의 수가 증가했습니다. 이는 더 많은 수익이 신뢰할 수 있는 주류 거래소로 전송되고 있다는 사실과 함께 랜섬웨어 운영이 합법적인 기업체를 연상시키는 방식으로 성숙하고 재무를 처리하고 있음을 나타내는 것으로 보입니다. 모든 달걀을 한 장바구니에 넣는 사람은 거의 없으며, 불법 서비스(변동성으로 알려져 있고, 범죄자가 실행하며, 언제든지 법 집행 조치의 대상이 되는 서비스)에 의존하는 사람은 더 적습니다.
피해자가 지불하지 않음
랜섬웨어 모범 사례가 유지되기 시작하도록 전 세계 법 집행 기관 및 사이버 보안 기관의 많은 어려운 교훈, 수십억 달러의 손실 및 수많은 경고를 필요로 했을 수 있지만, 2023년에는 조직이 랜섬웨어/강탈 공격을 예방, 준비 및 대응하는 방법에 대해 경계를 넓히고 있는 것 같습니다.
아마추어 전술
최상위 랜섬웨어 공격자가 채택한 전술, 기법 및 절차(TTP)가 현재보다 더 발전된 적은 없지만, 점점 더 많은 수의 반항적인 피해자가 그들의 요구에 굴복하기를 거부하고 있습니다. 사이버 위협 인텔리전스 회사인 Coveware는 이것이 2019년 통계 데이터에서 식별 가능한 추세로 처음 등장했으며, 그 이후로 피해자 지급 비율이 꾸준히 감소했다고 말합니다.
Coveware의 경우, 회사는 크게 감소하는 결제 수를 Coveware가 랜섬웨어 공격자에 의한 “아마추어” 전술로 규정하는 것의 사용으로 간주합니다. 이러한 전술에는 우리가 가장 좋아하는 것 중 하나인 동일한 공격자가 수일 또는 수주에 걸쳐 피해자를 반복적으로 공격하는 것이 포함되며, 그 중 다수는 방법론을 위장하기 위한 무분별한 시도로 다양한 멀웨어 균주를 종종 활용합니다.
진입 장벽이 낮으면 아마추어 랜섬웨어 갱단이 폭발합니다
Coveware는 랜섬웨어 피해자가 몸값을 지불하기로 선택한 경우 공격자의 지시에 따라 복호화 장치를 배포하여 영향을 받는 시스템을 신속하게 복구할 때 “품질 및 신뢰성 저하”를 점점 더 많이 관찰하고 있다고 말합니다.
이는 의심할 여지 없이 랜섬웨어 그룹의 수가 급증하는 것과 관련이 있습니다. 경험이 거의 없거나 전혀 없는 잡초처럼 급증하고 슬로피, 아마추어 전술을 활용하는 것으로, 이는 상위 RaaS(ransomware-as-a-service) 운영에서 유출된 소스 코드, 계약된 랜섬웨어 직원이 더 높은 수익을 얻기 위해 스스로 더 전문적인 RaaS 운영을 떠나는 것과 같은 다양한 요인의 조합으로 인해 발생하는 상황이며, 마지막으로 무엇보다도 일반적으로 계열사에게 말할 수 있는 기술 지원을 제공하지 않는 비기능적인 복호화기가 수반되는 매우 저렴한 랜섬웨어 오퍼링의 확산과 관련이 있습니다. 안녕하세요, 대가를 얻으시죠?
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“CTI가 앞서 언급한 바와 같이 2023 은 다양한 이유로 랜섬웨어 에코시스템의 전환점이 될 것으로 보입니다. 무엇보다도, 2022 은 비용을 지불하지 않기로 결정한 랜섬웨어 피해자 수가 갈취자의 요구에 응하기로 결정한 것보다 더 많은 첫 해였습니다. BleepingComputer가 언급한 바와 같이, 이러한 행동 변화는 ‘랜섬웨어 공격 처리에 대한 인식과 접근 방식의 변화를 강조합니다.’”
“이번 변화는 CTI와 다른 보안 전문가들이 랜섬웨어 관련 문제를 다룰 때 항상 저지해온 것과 동일한 랜섬웨어 모범 사례에 대한 약간의 부채로 보입니다. 피해자들은 결국 몸값을 지불한다고 해서 데이터 복구가 보장되지 않는다는 것을 깨닫기 시작했으며, 이는 공격자가 도난된 파일을 삭제한다는 의미도 아닙니다. 일부의 경우, 이는 심지어 법적 영향으로 이어질 수도 있습니다. 특히 미국 연방 정부가 제재를 가한 그룹에 금전을 지급하는 경우 그러합니다.”
“또한, 대중은 랜섬웨어 공격을 보는 방식을 변경한 것으로 보입니다. 이러한 사고의 변화는 랜섬웨어 피해자가 랜섬웨어 사고가 발생했을 때 대중과의 거래에서 점점 더 다가오고 정직해지는 결과일 가능성이 높습니다. 따라서 고객, 클라이언트, 파트너 및 산업 전체가 뉴스에 대응하는 방식으로 성숙한 것으로 보입니다. 판단력과 돌이 빠진 현상이 적고, 그 결과 브랜드 평판에 미치는 부정적인 영향과 높은 프로필의 랜섬웨어 공격의 전설적인 결론이었던 소비자 신뢰의 침식이 눈에 띄게 감소했습니다.”
또한 이사회 전체의 조직이 더 나은 백업 전략을 구현하여(일부는 사이버/랜섬웨어 보험사가 마련한 더 엄격한 요구 사항으로 인해) 독립적인 인프라 복구를 공격에 직면했을 때 실제로 실행 가능한 옵션으로 만드는 데 도움이 됩니다.”
“물론 위에서 논의한 통계 및 문화적 진화가 확실히 고무적이지만, 랜섬웨어 공격은 규모와 상관없이 모든 산업과 이를 구성하는 조직에 여전히 전 세계적인 위협입니다. 중소기업은 추가 공격을 촉진하는 데 도움이 될 수 있는 데이터를 보유한 조직과 소프트웨어 공급망의 인기 있는 부분을 구성하는 제품을 생산하는 조직과 마찬가지로 여전히 더 높은 위험에 처해 있습니다.”
2. 누출된 CIA Hive 악성코드를 사용하여 생성된 새로운 백도어가 야생에서 발견됨
년에 CIA가 악성코드를 제어하는 데 사용하는 주요 도구인 Hive 에 속하는 2017년 11월소스 코드 및 개발 로그가 게시되고 액세스가 가능해졌습니다 . Hive는 “전체 범위의 CIA 악성코드가 유출된 정보를 CIA 서버로 전송하고 CIA 운영자로부터 새로운 지침을 받을 수 있는 비공개 통신 플랫폼”을 제공합니다. Hive는 대상 컴퓨터의 여러 임플란트에서 정보를 가져와 전송하여 동시에 여러 작업을 지원할 수 있습니다.
사가의 최근 걱정스러운 개발에서 보안 회사 360Netlab 의 연구원들은 CIA의 Hive 프로젝트에서 기능을 빌려주는 새로운 백도어를 발견했습니다.
Hive 백도어 정보
360Netlab 명은 2022명이 끝날 무렵 의심스러운 ELF 파일을 발견했습니다. 이 파일은 F5 취약점을 통해 확산되고 위조된 Kaspersky 인증서와 함께 SSL을 통해 전달됩니다.
샘플에 대한 추가 연구에서 이 샘플이 CIA에서 유출된 Hive 프로젝트 서버 소스 코드에서 조정된 것으로 확인되었습니다. 연구자들은 이 백도어 또는 변종을 “xdr33로 명명했습니다.”
이 백도어의 주요 목적은 정보를 수집하고 향후 활용을 위한 기반을 제공하는 것입니다. 두 가지 주요 작업은 비콘과 트리거입니다.
- Beacon은 장치에 대한 정보를 하드코딩된 비콘 명령 및 제어(C2)에 주기적으로 보고하고 장치에서 명령을 실행합니다.
- 트리거는 트리거 C2에 대한 트래픽을 모니터링하고 트리거 C2와 통신을 설정하고 트리거 101이 발행한 명령의 실행을 기다립니다.
- 360Netlab 명의 연구자들은 xdr33 may 이 이미 여러 차례 반복 업데이트를 받았다고 생각합니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“관심이 있는 모든 분들을 위해 360Netlab’s 보고서에는 xdr33의 심층적인 기술 세부 정보가 포함되어 있습니다. xdr33 의 특징이 반드시 새로운 것은 아니지만, 360Netlabs 는 CIA Hive 공격 키트의 변형을 야생에서 캡처한 것은 이번이 처음이라고 말합니다.”
3. 백도어 외교 공격의 새로운 파도로 공격을 받고 있는 이란 정부 기관
Palo Alto의 Unit 42 의 최근 보고서에는 백도어 외교로 알려진 중국의 공격자에 기인한 새로운 공격 파도가 자세히 나와 있습니다.
Unit 42 은 이란 정부 도메인이 이전에 위협 범죄자와 관련된 악성코드 인프라에 연결하려고 시도하는 것을 목격했다고 주장합니다.
백도어 외교 정보
BackdoorDiplomacy ( APT15, Vixen Panda, KeChang, NICKEL 및 Playful Taurus로도 알려짐)는 사이버 스파이 캠페인을 수행하는 것으로 알려진 중국 정부 지원 지능형 지속적 위협(APT) 그룹입니다. 이 그룹은 최소 2010년부터 활동적이어서 역사적으로 북미와 남미, 아프리카 및 중동의 베이징에 대한 정부 및 외교적 관심 대상을 표적으로 삼고 있는 것으로 알려져 있습니다.
2021년 중반, ESET 는 백도어 외교 와 APT의 업그레이드된 툴킷을 도입했으며, 당시에는 Turian이라는 새로운 백도어가 포함되었습니다. Turian은 여전히 적극적인 개발 단계에 있는 것으로 보이며 Unit 42 은 백도어 외교 위협 범죄자들이 독점적으로 사용하고 있다고 생각합니다. 이후 새로운 명령 및 제어(C2) 인프라 외에도 새로운 백도어 변형이 관찰되었습니다.
백도어분배 인프라
도메인 vpnkerio[.]com은 이전에 아프리카와 중동의 외교 기관과 통신 회사를 대상으로 한 백도어 외교 캠페인의 일부로 확인되었습니다 . 이 도메인과 관련 하위 도메인은 이후 호스팅을 변경하여 다양한 새 IP 주소를 채택했으며 많은 하위 도메인이 단일 IP 주소로 해결되었습니다.
한 IP 주소를 분석한 결과 세네갈 외무부와 관련된 만료된 X.509 인증서가 드러났습니다. 인증서 2021년 4월가 에 만료되었지만 여전히 최근 관련 인프라와 연결되어 있습니다.
유닛 42 은 인증서와 관련된 모든 IP 주소를 파고들고 인증서가 원래 합법적인 세네갈 정부 인프라와 관련이 있었다고 생각합니다. 만료 후 인증서는 9개의 다른(그리고 분명히 세네갈 정부가 아닌) IP 주소와 연결되었으며, 이 중 8개는 다른 시점에 백도어 외교 도메인을 호스팅했습니다.
Unit 42 은 이 악성 인프라에 대한 연결을 모니터링했으며 2022년 7월부터 12월까지 4개의 이란 조직이 악성 IP 중 하나에 연결을 시도하는 것을 관찰했습니다.
와이어 내부
또한 42’s 호기 조사 결과, 2019년 5월부터 11월까지 이란 외무부에 속한 합법적인 도메인으로 보이는 호스트 IP가 밝혀졌습니다. 또한 이 도메인은 다른 이란 정부 관련 도메인을 호스팅하는 네트블록에 상주하며, 이는 실제로 이란 정부에 속함을 시사합니다.
여기서 비틀림은 2021년 9월이 IP가 부터 의심스러운 도메인 mfaantivirus[.]xyz도 호스팅했다는 것입니다. 이 특정 주소 공간에 호스팅되는 다른 정부 사이트의 합법적인 특성을 고려할 때 xyz는 이상한 TLD처럼 보입니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“백도어 외교는 업그레이드된 Turian 백도어와 새로운 C2 인프라로 입증된 바와 같이 전술과 툴링을 지속적으로 발전시키고 있습니다.”
“ Unit 42에서 언급한 바와 같이, 업그레이드된 툴링과 인프라는 BackdoorDiplomacy가 사이버 스파이 캠페인 동안 지속적으로 성공을 거두고 있음을 시사할 수 있습니다. 또한 Unit 42 은 이 캠페인이 이란 정부 기관을 대상으로 하는 것처럼 보이지만 백도어 외교는 역사적으로 북미와 남미, 아프리카 및 중동 전역의 기관에 동일한 TTP를 배포했습니다.”
