이번 주 라운드업에서 CTI는 사회 공학을 사용하여 글로벌 조직을 침해하는 금전적 동기를 가진 위협 범죄자인 Octo Tempest를 조명합니다. 다음 CTI는 9월에 랜섬웨어 활동이 2023에서 가장 높은 수준에 도달했음을 나타내는 보고서를 조사합니다. 또한 오픈 소스 Quasar RAT가 DLL 사이드로딩을 활용하여 침해된 Windows 호스트에서 데이터를 훔치는 방법에 대한 개요도 포함되어 있습니다.
1. Octo Tempest, 글로벌 조직 위협
Microsoft는 금전적 동기를 가진 위협 범죄자 Octo Tempest (새 탭에서 열림)와 관련된 활동을 추적하고 있습니다. 이 공격자는 AiTM(adversary-in-the-middle) 기술, 소셜 엔지니어링 및 SIM 스왑 기능을 특징으로 하는 공격을 시작하는 것으로 유명합니다.
Microsoft에 따르면 이 그룹은 복잡한 하이브리드 환경을 탐색하기 위해 다양한 위협, 전술 및 절차(TTP)를 빠르게 진화시키고 활용하고 있습니다. 또한 Octo Tempest는 0ktapus, Scattered Spider 및 UNC3944를 포함한 다른 위협 그룹과 일부 중복됩니다.
Octo Tempest의 일정
2022: 이 그룹은 원래 모바일 통신 및 비즈니스 프로세스 아웃소싱 조직을 표적으로 삼아 SIM 스왑을 시작하는 것을 관찰했습니다. 다른 사이버 범죄자에게 SIM 스왑을 판매하고 암호화폐를 훔치기 위해 계정 탈취를 수행함으로써 공격을 수익화하기 시작했습니다.
2022 년 말과 2023년 초: Octo Tempest는 케이블 통신, 이메일 및 기술 조직을 대상으로 범위를 확장하기 시작했습니다. 이 그룹은 도난된 데이터에 대해 피해자를 갈취하고, 일부의 경우 물리적 위협에 의존함으로써 침입을 수익화하기 시작했습니다.
Mid-2023: Octo Tempest는 BlackCat RaaS 그룹의 계열사가 되었습니다. 이는 Octo Tempest가 많은 랜섬웨어 그룹이 함께 비즈니스를 거부하는 영어 구사 그룹이므로 주목할 만합니다.
2023년 6월: Octo Tempest는 ESXi 서버에 중점을 두고 BlackCat 랜섬웨어 페이로드를 배포하기 시작했습니다. 이 그룹은 다시 한 번 천연 자원, 게임, 접객 서비스, 소비재, 소매, MSP, 제조, 법률, 기술 및 금융 서비스에 대한 타겟팅을 확대했습니다.
초기 액세스
Octo Tempest는 일반적으로 소셜 엔지니어링 공격을 사용하여 높은 권한을 가진 기술 관리자를 표적으로 삼습니다. 위협 범죄자는 개인을 식별하기 위한 조사를 수행하고 그들을 사칭하여 전화를 걸고 개인이 비밀번호 재설정 및 MFA 방법을 수행하도록 속이는 데 필요한 것을 수집합니다.
그룹은 일반적으로 초기 액세스를 위해 다음 방법 중 하나를 사용합니다.
- 직원에게 전화를 걸어 RMM을 설치하도록 속이거나 AiTM 툴킷을 사용하여 사이트로 이동합니다.
- 조직의 헬프 데스크에 전화하여 암호를 재설정합니다.
- 다크 웹에서 직원의 자격 증명을 구매합니다.
- SMS 피싱 수행.
- SIM 스왑을 시작합니다.
일례로, Octo Tempest는 기업 액세스를 위해 자격 증명을 공유하기 위해 물리적으로 위협적인 피해자에게 의존했습니다.
정찰 및 발견
Octo Tempest는 고급 액세스를 얻기 위해 열거 및 정보 수집 작업을 수행합니다. 작업자는 해당 사용자 프로필에 사용 가능한 데이터 및 리소스를 열거하기 전에 사용자, 그룹 및 장치 정보의 초기 대량 내보내기를 수행합니다.
공격자는 네트워크 아키텍처, 온보딩, 원격 액세스 방법, 암호 정책 및 자격 증명 저장소와 관련된 문서를 식별하기 위해 검색을 자주 수행합니다. 그런 다음 데이터베이스 및 스토리지 컨테이너를 열거하는 멀티 클라우드 환경을 탐색합니다.
권한 에스컬레이션 및 자격 증명 액세스
Octo Tempest는 SIM 스왑을 시작하거나 직원의 전화번호로 통화 전달을 설정하여 권한을 높여 계정의 셀프서비스 비밀번호 재설정을 시작할 수 있습니다. 또한 소셜 엔지니어링을 사용하여 헬프 데스크에 직접 전화하여 관리자 암호를 재설정하거나 MFA 토큰을 변경/추가하는 것이 관찰되었습니다.
이러한 권한 에스컬레이션 전술은 신뢰 구축에 의존합니다. 경우에 따라 위협 범죄자는 손상된 관리자 계정을 사용하여 암호 재설정 요청을 승인합니다. 오픈 소스 툴링을 사용하여 향후 사용을 위해 코드 리포지션 전반에서 일반 텍스트 키, 비밀 및 자격 증명의 식별을 자동화합니다.
방어 회피
공격자는 보안 직원의 계정을 침해하여 보안 제품 및 기능을 끄고 탐지를 회피하려고 시도합니다. 이렇게 침해된 계정은 EDR 및 장치 관리 기술을 활용하여 악성 툴링을 허용하고, RMM 소프트웨어를 배포하고, 보안 제품을 변경하고, 민감한 파일을 훔치고, 페이로드를 배포합니다. 한 단계 더 나아가 Octo Tempest는 침해된 보안 직원의 사서함 규칙을 수정하여 의심을 제기할 수 있는 벤더의 이메일을 자동으로 삭제합니다.
지속성
Octo Tempest 공격은 공개적으로 사용 가능한 도구를 사용하여 지속성을 설정합니다. 예를 들어, AADInternals와 같은 도구를 사용하여 기존 도메인을 통합하거나 합법적인 도메인을 스푸핑하고 새 도메인을 추가/통합합니다. 공격자는 여러 RMM 도구를 설치하고 네트워크 수정을 통해 액세스를 활성화합니다. 역방향 셸 사용은 Windows 및 Linux 엔드포인트 모두에 대한 많은 Octo Tempest 침입에서 볼 수 있습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
옥토 템페스트는 짧은 시간 내에 다소 큰 TTP 무대를 구축한 정교한 배우입니다. 수많은 부문을 광범위하게 표적으로 삼는 것은 다소 기회주의적이지만 그럼에도 불구하고 결단력이 있습니다. 마이크로소프트는 ‘가장 위험한 금융 범죄 그룹 중 하나’라고 언급하면서 공격자는 초기 액세스를 위해 광범위한 정교한 소셜 엔지니어링 전술을 활용하고 있습니다. 복잡한 소셜 엔지니어링 전술과 BlackCat의 계열사인 Octo Tempest는 계속 주시할 수 있는 위협 범죄자입니다.
Microsoft의 광범위한 보고서는 다른 많은 Octo Tempest TTP를 다루므로 읽을 가치가 있습니다.
2. 9월 랜섬웨어 활동 급증
NCC Group은 위협 환경 (새 탭에서 열림) 의 최신 발전 2023년 9월사항, 특히 랜섬웨어 공간을 자세히 설명하는 에 대한 인텔리전스 보고서를 발표했습니다. 이들의 데이터에 따르면 9월 랜섬웨어 활동은 8월의 상대적 미묘한 하락 이후 2023 년에는 최고 수준에 도달했습니다.
NCC 그룹은 각 그룹이 사용하는 누출 사이트를 모니터링하고 추가될 때 피해자 세부 정보를 폐기함으로써 이중 갈취 전술에 관여하는 랜섬웨어 그룹을 추적하고 있습니다. 수집된 데이터에 따르면, 지난 달 대비 32% 증가 2023년 9월 한 514 건의 공격이 있었습니다.
랜섬웨어 공격 2023년 8월 이 22% 감소했음에도 불구하고 9월의 랜섬웨어 활동은 7월 수준으로 회복되었습니다. NCC 그룹 및 수집된 데이터에 따르면 이는 이중 갈취 공격의 수가 가장 많다는 것을 의미합니다. 또한 에서 2022년 9월 로 153% 증가했으며 2023년 9월, 이는 전년 대비 상당한 증가를 강조합니다.
상위 랜섬웨어 부문
의 대상 섹터는 규범에서 벗어나지 2023년 9월 않았습니다. NCC Group은 산업 부문이 가장 표적이 되는 것을 발견했으며, 169 건의 공격 또는 전체의 33%를 차지했습니다. 그러나 이는 이전 달 대비 2% 증가에 불과합니다. 기술 부문은 지난 달 랜섬웨어 공격의 약 10%를 경험했는데, 이는 지난 달보다 약간 증가한 수치입니다.
새로운 랜섬웨어 공격자
9월 한 달 동안 상위 10 명의 공격자가 해당 달의 모든 랜섬웨어 공격의 70%를 차지했습니다. 2개월마다와 마찬가지로 9월도 여러 새로운 랜섬웨어 공격자를 불러왔습니다.
새로 등장한 LostTrust는 공격의 10%를 차지했으며 RansomedVC는 9%를 차지했습니다. 또한 NCC 그룹은 Cactus와 Trigona라는 두 개의 다른 비교적 새로운 그룹에서 약간의 활동 증가를 보았습니다. Cactus는 9월에 최대 51 건인데 비해 7월에 13 건입니다.
랜섬웨어 상위 지역
북미, 유럽 및 아시아가 가장 많은 활동을 창출하면서 9월에 상위 대상 지역은 정적인 상태를 유지했습니다. 북미는 지난 달 대비 3% 증가한 공격의 50%를 차지하는 목록을 상회했습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Cl0p 은 9월에 본질적으로 아무런 활동이 없었고 MOVEit 공격 이후 전반적으로 많은 활동이 없었다는 사실은 흥미롭습니다. 이는 이 랜섬웨어 운영에 있어 상당히 낮은 프로필입니다.
NCC 그룹은 이것이 Cl0p의 특성이라고 생각합니다. 이러한 이유로 NCC 그룹은 보다 표적화된 캠페인이 임박할 것으로 기대합니다. Cl0p 이 랜섬웨어 현장으로 복귀하기로 결정하는지 여부는 시간만으로 알 수 있지만, 입증된 성공과 추적 기록을 고려할 때 놀라운 일이 아닙니다.
3. Quasar RAT는 DLL 사이드로딩으로 탐지 회피
오픈 소스 Quasar RAT (새 탭에서 열림) 는 최근에 DLL 사이드로딩을 활용하여 침해된 Windows 호스트에서 데이터를 유출하는 것으로 관찰되었습니다. 일반적으로 신뢰할 수 있는 두 개의 Microsoft 파일인 ctfmon.exe 및 calc.exe를 사용하여 이중 DLL 사이드로딩을 수행하고 악성 페이로드를 은밀하게 도입, 배포 및 실행합니다.
RAT 사이드로딩 실행 중지
Uptycs는 Quasar RAT DLL 사이드로딩 기법의 단계별 세부 정보를 제공합니다. (새 탭에서 열림)
- 이 공격은 공격자가 ctfmon.exe를 실제 Microsoft 파일로 활용하여 악성 DLL을 로드하는 것으로 시작됩니다. 그런 다음 공격자는 ctfmon.exe 바이너리를 실행하고 합법적인 calc.exe 파일과 악성 DLL을 시스템에 릴리스하는 1단계 페이로드를 획득합니다.
- 공격의 두 번째 단계에서 공격자는 악성 DLL을 트리거하는 calc.exe를 실행합니다. 현재 Quasar RAT는 컴퓨터 메모리에 있습니다. 페이로드는 프로세스 중공 기법을 사용하여 합법적인 시스템 프로세스에 내장되므로 탐지가 더 어려워집니다.
기술 분석
Uptycs는 분석을 위해 Quasar RAT 실행 흐름에서 여러 파일을 얻었습니다.
바이너리 파일 ebill-997358806.exe가 실행되면 악성 코드를 숨기는 MsCtfMonitor.dll이라는 파일의 로딩이 시작됩니다. 이 파일에는 일련의 API를 통해 액세스하는 암호화된 데이터가 포함된 리소스 섹션이 있습니다. 복호화를 수행한 후 이 데이터는 복호화되고 1단계 FileDownloader.exe인 PE 파일을 제공합니다. 그런 다음 PE 파일은 API 시퀀스를 통해 Regasm.exe에 주입됩니다.
- 1단계 – FileDownloader.exe: 이 1단계 페이로드는 64비트 MSIL 바이너리 파일이며 아카이브 내에 3개의 바이너리가 포함된 리소스 섹션을 포함합니다. 이 페이로드는 이 아카이브의 압축을 풀고 파일을 공개 사진 폴더에 저장할 수 있습니다. Calc.exe(적법한 Windows 파일), Secure32.dll(악의적인 DLL) 및 Winsecu32.dll(다른 합법적인 Windows 파일)의 세 가지 파일이 이 폴더에 배치됩니다.
- 2 단계 – calc.exe: Calc.exe는 Secure32.dll이라는 악성 DLL을 실행하고 로드합니다. 이 DLL에는 암호화된 리소스 섹션이 포함되어 있습니다. 리소스 데이터는 API 시퀀스를 통해 다시 액세스된 다음 해독되어 PE 파일을 제공합니다. 이 PE 파일은 프로세스 중공을 통해 메모리 공간 Regasm.exe에 삽입됩니다.
- 최종 페이로드: PE 파일은 스마트 어셈블리에 의해 난독화되는 MSIL 실행 파일입니다. 오픈 소스 Quasar RAT에서 영감을 받은 것 같습니다. 'Copyright © MaxXor 2020'로 저작권이 보호되기 때문입니다. 난독화는 키로깅, 파일 전송, 셸 실행 등을 포함하여 기능 이름에서 실행된 명령을 공개했습니다. 또한 .bat 스크립트를 삭제하여 다시 시작 배치 파일을 생성합니다. RAT는 C2 에 소켓 연결을 생성하여 피해자의 정보를 전송합니다.
RAT는 AntiVirusProduct 및 방화벽 WMI 클래스를 쿼리하고 BIOS 인프라, GPU 세부 정보, 호스트 이름 등을 찾습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
Quasar RAT는 지난 몇 개월 동안 인기가 높아지고 있는 DLL 사이드로딩 대역에서 점프하고 있는 것으로 보입니다.
이 활동 뒤에 있는 공격자는 현재 알려지지 않았으며 Quasar RAT가 오픈 소스이기 때문에 덜 정교한 공격자가 공격을 수행할 수 있다는 점을 고려할 때 여전히 알려지지 않았을 가능성이 높습니다.
연구자들은 이 공격에 대한 초기 액세스 벡터를 확인할 수 없었습니다. 하지만 실행 흐름은 ISO 파일로 시작되기 때문에 피싱 이메일에서 기인했을 가능성이 매우 높습니다.
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
