우리는 고객과 협력하여 SamSam 랜섬웨어의 최신 변종으로부터 조직을 보호하면서 운영 방식에 대해 더 많이 배웠습니다. Threat Response 모듈을 통해 위협 헌터가 이러한 위협을 신속하게 탐지하고 대응하는 방법에 대한 지침과 함께 이러한 결과를 여기에서 공유하고 있습니다.
(이미지: Pete Linforth / Pixabay)
많은 조직들이 지난 몇 달 동안 인기 있는 주제였던 랜섬웨어 변종인 SamSam의 피해자가 되었습니다. 네트워크를 중단시키는 것으로 알려진 이 기회 공격은 의료, 정부 및 소매를 포함한 여러 산업 분야에서 관찰되었습니다.
SamSam은 새로운 위협이 아니며, 2년 이상 야생에서 관찰되었습니다. 네트워크를 감염시킨 후 해커는 암호 해독 키 대신 비트코인 피해자를 갈취하고 있습니다. 이 변이를 탐지하기 위한 TTP는 복잡하지 않지만, 많은 조직들이 주변을 부적절하게 보호하여 광범위한 감염에 대한 초기 진입점을 제공하기 때문에 피해자가 됩니다.
Tanium은 SamSam과 연결된 악성 활동을 탐지하고, 위협에 대한 조치를 취하고, 감염을 초래하는 근본 원인 취약성을 해결하는 기능을 제공하는 Threat Response 모듈을 사용하여 고객이 최근 SamSam 발생으로부터 보호하고 이에 대응할 수 있도록 지원하고 있습니다. 우리는 이 모든 것이 어떻게 작동하는지 자세히 설명하지만, 먼저 이 특정 랜섬웨어 균주에 대해 지금까지 배운 내용을 공유하고자 합니다.
SamSam 모듈스 오페란디
SamSam 위협 범죄자들은 패치되지 않은 버전의 Java JBOSS 애플리케이션 서버에서 원격 코드 실행 취약성을 악용하는 것을 처음 목격했습니다. 그러나 지난 18 개월 동안 SamSam의 공격자들은 피해자 조직에 대한 초기 액세스를 얻기 위해 광범위한 취약점을 활용했습니다. 한 가지 일반적인 기법은 원격 데스크톱 및 RDP 애플리케이션 게이트웨이를 인터넷에 노출시키는 호스트에 중점을 둡니다. 위협 범죄자는 간단한 RDP 무차별 공격 툴을 사용하여 일반적으로 사용되거나 기본 설정된 암호를 찾습니다.
공격자는 네트워크 세그먼트 내에 기반을 설정한 후 NET.EXE와 같은 기본 Windows 명령을 통해 네트워크의 호스트 및 사용자를 열거할 수 있습니다. 공격자는 악성 PowerShell 스크립트를 사용하여 Mimikatz 자격 증명 수집 유틸리티를 로드하여 권한 있는 계정에 액세스할 수 있습니다. 공격자는 내부로 이동하여 추가 자격 증명을 덤핑함으로써 결국 Active Directory 도메인 관리자 또는 권한이 높은 서비스 계정을 얻을 수 있습니다.
이러한 자격 증명을 고려할 때 공격자는 도메인 컨트롤러를 감염시키고 백업을 파괴하며 더 광범위한 엔드포인트를 자동으로 표적으로 삼고 암호화할 수 있습니다. 공격자는 배치 스크립트와 WMI 또는 PsExec 유틸리티를 사용하여 악성코드를 배포하고 실행합니다.
그림 1: 악성 바이너리를 시작하고 변수를 설정하는 SamSam 배치 스크립트의 사본입니다.
SamSam의 새로운 변형은 “.stubbin” 파일 확장자가 있는 “runner” 파일을 참조하여 관찰할 수 있습니다. 이 방법은 악성 바이너리를 해독하고 실행하는 .NET 바이너리를 통해 악성코드를 로드합니다. 암호화 루틴이 시작되면 파일이 암호화되고 새 파일 확장자로 이름이 바뀌며 별도의 .html 파일이 삭제되어 몸값 메모 역할을 합니다. 몸값은 비트코인을 통한 결제를 요구하며 또한 적절한 키가 있음을 증명하기 위해 두 파일(호스트 아님)의 무료 해독을 제공합니다.
SamSam 랜섬웨어: Tanium Threat Response가 지원하는 방법
Threat Response에는 “신호”라는 강력한 탐지 기능이 포함되어 있으며, 이는 악성 활동에 대한 지속적인 모니터링 및 실시간 경고를 제공합니다. Tanium EDR 팀은 고객에게 일반적인 공격자 방법론에 대한 충실도 높은 식별을 제공하기 위해 MITRE ATT&CK 프레임워크에 맞게 작성 및 정렬된 신호 피드를 유지합니다. 이 섹션에서는 즉시 사용 가능한 신호 중 일부가 SamSam 공격의 구성 요소를 자동으로 식별하는 방법과 고객이 자체 사용자 지정 신호를 생성할 수 있는 방법을 다룹니다.
SamSam 위협 범죄자들은 종종 Mimikatz를 사용하여 높은 사용자 또는 도메인 관리자에게 액세스를 보고합니다. 공격자는 이 명령(또는 유사한 변종)을 사용하여 PowerShell 기반 버전의 Mimikatz를 다운로드하고 실행합니다.
그림 2: 다음 명령은 PowerShell을 통해 Mimikatz를 다운로드하고 실행하기 위해 공격자가 관찰한 것입니다.
“Suspicious PowerShell 명령줄” 신호는 수행하는 활동을 기반으로 이 PowerShell 실행을 식별합니다. PowerShell 명령이 실행되면 시스템이 회사 네트워크에 없는 경우에도 신호 경고가 몇 초 내에 Tanium 콘솔에 도달합니다.
그림 3: 의심스러운 PowerShell 명령줄에 대한 Tanium 신호 경고의 예.
사용되는 명령줄과 관계없이 Tanium은 비정형 프로세스 혈통을 통해 실행되는 PowerShell을 탐지하고 경고할 수 있으며, 이는 페이로드가 매크로 멀웨어 또는 기타 악용된 애플리케이션을 통해 전달될 때 종종 발생합니다.
공격자가 독립 실행형 Mimikatz 실행 파일을 PowerShell을 통해 반사적으로 로드하는 대신 직접 실행하기로 선택하는 경우 Tanium의 신호 피드는 여러 탐지 메커니즘도 제공합니다. 아래 스크린샷은 이러한 경고의 예를 보여줍니다.
그림 4: Mimikatz 실행을 위한 Tanium 신호 경고의 예.
SamSam 공격자가 사용하는 또 다른 일반적인 전술은 백업 파일이 삭제되도록 하는 것입니다. 이로 인해 복구 작업이 훨씬 더 어려워져 피해자가 몸값을 지불할 가능성이 높아집니다. 일반적으로 사용되는 한 가지 방법은 Windows 볼륨 섀도우 사본을 삭제하는 것입니다. Tanium Threat Response는 실행 시 이 활동을 탐지하고 경고합니다.
그림 5: 볼륨 섀도우 카피 삭제에 대한 Tanium 신호 경고를 조사하기 위한 시도입니다.
경고를 중심으로 실행된 활동을 피봇팅하면 “vssadmin shadows 삭제” 명령뿐만 아니라 명령 프롬프트에서 수행된 다른 작업도 볼 수 있습니다. 엔드포인트 활동을 시각화하는 Tanium의 기능은 침해에 선행한 것과 이벤트의 후속 영향을 재구성하는 데 도움이 될 수 있습니다.
PsExec 활동 감지
Tanium Threat Response 사용자는 실시간 탐지 및 경고를 위해 파일, 네트워크, 프로세스 및 레지스트리 이벤트의 모든 조합을 포함하는 자체 신호를 생성할 수 있습니다. 또한, 보안 팀이 다양한 레벨과 유형의 모니터링을 다양한 유형의 시스템에 적용할 수 있도록 전사적이 아닌 특정 컴퓨터 그룹에 신호를 맞춤화하고 적용할 수 있습니다.
다음 예는 SamSam의 Sysinternals PsExec 유틸리티 사용을 감지하는 간단한 신호와 관련 이상을 찾기 위한 Tanium의 엔터프라이즈 헌팅 및 검색 기능을 보여줍니다. PsExec은 종종 시스템 관리자에 의해 합법적으로 사용되기 때문에 이러한 신호는 오탐에 맞게 사용자 지정되어야 할 수 있습니다. 사고가 발생하는 동안 조직은 신속한 탐지 및 대응을 위해 일부 “소음”을 수용하기로 선택할 수 있습니다.
SamSam 공격자는 일반적으로 PSEXEC를 사용하여 배치 스크립트를 내부적으로 배포하고 실행하여 악성코드를 설치합니다. 명령줄 및 파일 명명 규칙은 캠페인마다 다를 수 있습니다. 다음은 변형 중 하나를 감지하는 간단한 신호의 예입니다.
그림 6: PSEXEC 시작 BAT 파일에 대한 Tanium 신호 경고의 예입니다.
수신 시스템에서 PsExec 서비스 바이너리 PSEXESVC.EXE가 CMD.EXE 인스턴스를 시작하여 복사된 배치 스크립트를 실행합니다. 다음 신호로 결과 활동을 감지할 수 있습니다.
process.parent_command_line은 'psexesvc.exe'로 끝나고 process.command_line은 'cmd.exe /c'를 포함하고 process.command_line은 '.bat'를 포함합니다.
신호는 process.path, process.command_line, process.parent_path 및 process.parent_command_line의 모든 조합을 허용하므로 다른 변형에 대한 추가 탐지를 쉽게 구축할 수 있습니다(합법적인 활동을 제외할 수 있음). 물론 이러한 예에서는 기본 프로세스 일치만 사용하고 있습니다. 사용자는 파일, 네트워크 및 레지스트리 작업을 신호에 포함할 수도 있습니다.
또한 조사관은 PsExec을 오용하는 공격의 다른 변형을 찾아낼 수도 있습니다. “트레이스 실행 프로세스 트리” 센서를 사용하면 PsExec 서비스 바이너리(PSEXESVC.EXE)를 상위 항목으로 사용하여 실행된 고유한 프로세스 시퀀스의 발생 빈도(수)를 쉽게 비교할 수 있습니다. 이렇게 하면 드릴다운 및 추가 분석을 위해 다른 이상치를 정확히 찾을 수 있습니다.
그림 7: 호스트 전반에서 PsExec 서비스에 의해 시작된 프로세스 트리 비교.
시험자는 Tanium을 사용하여 아래 그림과 같이 PsExec과 관련된 서비스 설치 이벤트에 대한 기본 Windows 시스템 이벤트 로그를 검색할 수도 있습니다. 이를 통해 보완적인 증거 소스뿐만 아니라 사고 전에 Tanium이 배포되지 않았을 수 있는 호스트에서 증거를 찾을 수 있는 기능을 제공합니다.
그림 8: PsExec 서비스 생성을 위한 Tanium Threat Response 검색.
초기 입력 수단 찾기: 원격 데스크톱
앞서 언급한 바와 같이, 최근 SamSam 캠페인은 원격 데스크톱 프로토콜(RDP)을 인터넷에 노출시키는 엔드포인트가 있는 조직을 대상으로 합니다. 일반적인 관리자 사용자 이름에 대한 자동 무차별 공격은 이러한 시스템에 대한 초기 액세스를 제공할 수 있습니다. 성공하면 RDP 호스트를 발판으로 사용하여 나머지 환경을 대상으로 지정할 수 있습니다. 피해자가 공격의 후속 단계를 탐지하거나 방지하기 위해 관리하더라도 이러한 취약한 진입점을 식별하고 해결하지 못하면 네트워크가 다시 손상되기 쉽습니다.
Tanium은 조직이 원격 데스크톱이 네트워크에서 노출되는 위치와 사용 방법을 신속하게 식별하는 데 도움이 될 수 있습니다. 예를 들어, 사용자는 포트 3389에서 현재 수신 대기 중인 모든 시스템뿐만 아니라 이 포트와의 과거 네트워크 연결 기록을 가진 시스템에 대해서도 쿼리할 수 있습니다. 결과는 네트워크 범위, 호스트 이름, OS, 방화벽 정보 및 기타 관련 속성과 같은 추가 데이터 포인트로 보강 및 그룹화할 수 있습니다.
그림 9: 포트 3389 에서 적극적으로 수신 대기 중인 엔드포인트를 호스트 이름, IP 및 OS로 식별합니다.
그림 10: 포트 3389에 대한 과거 네트워크 연결 검색.
또한 Tanium Threat Response는 운영 체제 및 응용 프로그램 이벤트 로그와 같은 기본 소스에서 추가 증거를 검색할 수 있는 기능도 제공합니다. 예를 들어, “원격 데스크톱 이벤트 로그 검색” 센서는 Windows 이벤트 로그, 특히 Windows 터미널 서비스 운영 로그에 기록된 로그 내에서 발견된 과거 RDP 로그온 성공 사례를 검색할 수 있습니다.
그림 11: RDP 이벤트 로그 검색 센서를 요약한 스크린샷.
탐지 및 대응 그 이상
플랫폼으로서 Tanium의 광범위한 보안 및 IT 운영 기능은 조직이 공격에 대응할 때 EDR/EPP 포인트 솔루션의 기존 한계를 뛰어넘는 데 도움이 될 수 있습니다. 이 게시물에서 다룬 SamSam 사례와 관련된 두 가지 예를 강조하겠습니다.
Tanium Discover 는 Tanium 아키텍처를 활용하여 인터넷 또는 신뢰할 수 없는 네트워크에 노출된 원격 데스크톱과 같은 서비스를 가질 수 있는 호스트를 포함하여 관리되지 않는 호스트를 효율적으로 식별합니다. Discover는 수동 및 활성 기술을 모두 사용하여 엔드포인트를 지문으로 인쇄할 수 있는 여러 수단을 사용합니다. 사용자는 관리되지 않는 엔드포인트에서 OS를 검토하고 포트를 열고 알림 및 경고 워크플로를 생성하며 신뢰할 수 없는 장치를 차단할 수도 있습니다.
그림 12: Tanium Discover에서 열린 RDP 포트가 있는 관리형 및 비관리형 장치 검토.
그림 13: Tanium Discover에서 관리되지 않는 장치 인터페이스에 대한 세부 정보 검토.
복구할 때가 되면 Tanium Protect 는 신뢰할 수 없는 소프트웨어의 실행을 제한하는 응용 프로그램 제어 정책과 원치 않는 네트워크 트래픽을 제한하는 엔드포인트 방화벽 정책을 시행할 수 있습니다. 예를 들어, 많은 시스템 세트에서 포트 80 또는 443의 외부 IP 주소로 통신을 시작하기 위해 “powershell.exe”가 필요하지 않을 수 있습니다. 이는 원격 사이트에서 호스팅되는 스크립트를 실행하는 데 일반적으로 사용되는 기법 중 하나를 방해할 수 있습니다.
그림 14: Protect에서 엔드포인트 방화벽 정책 검토.
관리자는 플랫폼 전체에서 정의 및 사용될 수 있는 동일한 동적 Tanium 컴퓨터 그룹에 Protect 정책을 적용할 수 있습니다. 이렇게 하면 가장 일관되고 안정적인 구성(예: 도메인 컨트롤러)을 가진 엔드포인트부터 시작하여 단계적 방식으로 보안 제어를 테스트하고 배포할 수 있습니다.
SamSam 공격자가 활용하는 전술은 진보적이거나 혁신적이지 않지만, 경계 방어 및 권한 있는 계정 관리의 일반적인 결함을 강조합니다. 이러한 활동에 대한 전사적인 가시성을 확보하면 위협 헌팅 프로세스를 가속화할 수 있습니다. 이러한 보안 제어를 검증함으로써 이러한 위협에 대해 사전에 방어하거나 침입자의 활동을 추적할 수 있습니다.
Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.
저자 소개: Aaron Goldstein은 Tanium의 엔드포인트 탐지 및 대응(EDR) 팀의 이사입니다. 그는 사고 대응 컨설팅 및 위협 인텔리전스 관리 분야에서 9년을 보낸 후 Tanium에 입사했습니다. 경력 기간 동안 Aaron은 9개국에서 250 개 이상의 보안 업무를 이끌었으며, 여기에는 높은 프로필의 조사 및 사고 대응에서부터 대규모 사이버 침입 교육 연습을 생성하고 맞춤화하는 것에 이르기까지 다양합니다. Aaron은 복잡한 대규모 침해에서 자신의 고유한 사고 대응 경험을 활용하여 모든 규모의 환경을 보호하는 전략적 솔루션을 제공합니다. 그는 어려운 주제를 이해하기 쉬운 교육 세션으로 변환하는 데 고도로 능숙하며, 지식과 기술을 활용하여 중요 시스템 보안이라는 끊임없이 증가하는 과제에 고유한 접근 방식을 제공합니다. Aaron은 세계를 안전하게 지키는 데 안주하지 않을 때 외딴 곳으로 여행하고 하이킹을 즐깁니다.
