최근 GlobeImposter 랜섬웨어의 활동이 증가하고 있으며, 암호화하는 파일에 다양한 접미사를 추가하는 것으로 관찰되었습니다. 관찰된 몇 가지 패턴으로는 “.492, .490, .725, .726, .707”과 같은 세 자리 난수를 사용하거나, “.p1crypt, .A1crypt, .BRT92, .mtk118”과 같은 임의의 영숫자 조합을 사용하거나, “.OCEAN, .SEA, .ROSE, .ASTRA, .DECODED”와 같은 접미사를 사용하는 것이 있습니다.
이전에 GlobeImposter 랜섬웨어는 RDP(원격 데스크톱 연결) 해킹에만 사용되었지만, 지난 몇 주 동안 악성 스팸 캠페인을 사용하는 것으로 관찰되었습니다.
이전 악성 스팸 캠페인에서 발견된 대부분의 스크립트 파일은 Windows 스크립트 호스트(WSH)를 통해 페이로드를 다운로드하기 위해 여러 URL을 백업으로 사용하거나 PowerShell을 사용하여 우회했습니다. GlobeImposter 확산은 주로 JS/VBS 스크립트 파일을 사용하는 Blank the Slate 악성 스팸 캠페인을 통해 이루어졌습니다.
Blank Slate 악성 스팸 캠페인 에 대해 더 자세히 알아보세요.
Quick Heal Security Labs에서 수신한 스크립트 파일을 통해 악성 페이로드를 전달하는 데 여러 도메인이 사용되는 것을 확인했습니다. 악성 도메인의 페이로드는 다양했으며, 접미사가 다른 파일을 암호화하는 것으로 보입니다. 스크립트 파일에서 발견된 도메인은 이미 손상되었거나 악의적인 목적으로 새롭게 등록된 도메인입니다.
악성 코드 분석을 위해 고도로 난독화된 악성 자바스크립트 파일을 디버깅했습니다. 아래는 악성 스팸 캠페인에서 입수한 스크립트 파일 중 하나인 " 31408.js" 입니다.
흥미롭게도 이 스크립트에는 "예외 처리기"라는 안전 장치가 있었습니다. 이 스크립트 파일은 처음에는 Windows 스크립트 호스트를 사용하여 페이로드를 전달했지만, 불확실한 이유로 예외가 발생할 경우 예외 처리기를 호출하여 PowerShell을 실행하고 랜섬웨어 페이로드를 전달합니다.
난독화가 해제된 코드는 HTTP Get Request를 사용하는 주요 코드와 PowerShell에서 페이로드를 전달하는 예외 코드 모두에서 동일한 도메인(그림 2에서 볼 수 있듯이 빨간색으로 표시)을 갖습니다. Seqrite 엔드포인트 보안 브라우징 보호 악성 URL을 차단하고 페이로드 다운로드를 방지합니다.
WSH에 대한 코드는 페이로드를 다운로드했습니다.
스크립트 파일에서 예외가 발생할 경우 페이로드는 C:\Users\<user>\AppData\Roaming Microsoft\Windows\Templates\{6_RandomNumbers}.exe 경로로 다운로드됩니다.
C :\Users\<user>\AppData\Roamingrnd.exe
또한 PowerShell 코드에서 사소한 오류가 발견되었습니다. 코드의 대상 다운로드 위치가 ' %appdata%rnd.exe' 로 되어 있는데, 이는 ' %appdata%\rnd.exe' 로 수정되어야 합니다 . 따라서 페이로드가 Roaming 폴더 내부가 아닌 "C:\Users\<user>\AppData\ Roamingrnd.exe "에 다운로드되어 페이로드 파일 이름이 rnd.exe 가 아닌 Roamingrnd.exe로 지정됩니다.
" 31408.js " 를 실행했을 때 , GlobeImposter 페이로드는 "hxxp://foolerpolwer.info/admin.php?f=3" 에서 다운로드되었습니다 . 테스트 환경에서 다운로드된 파일 이름은 725947.exe였습니다. 아래 이미지에서 볼 수 있듯이, 스크립트 파일은 악성 도메인으로 HTTP 요청을 보내고, 해당 도메인은 파일 이름이 "3" 인 PE 파일 (실행 파일)을 수신합니다. 이 파일은 이후 이름이 변경되어 아래 위치로 이동되며, 새 파일 이름은 그림 2에서 볼 수 있듯이 Math.Random() 함수를 사용하여 생성됩니다.
삭제된 페이로드가 실행되면 메모리 내 악성 코드를 리소스 섹션에서 복호화하고 랜섬웨어 활동을 수행합니다. 또한 "CREATE_SUSPENDED" 플래그를 가진 자식 프로세스를 생성하고, 'WriteProcessMemory'를 사용하여 복호화된 코드를 메모리에 삽입한 후 스레드/프로세스를 재개합니다.
암호화 활동이 시작되기 전에 삽입된 프로세스는 taskkill을 사용하여 outlook, ssms, postgre, 1c, SQL, excel, word 등의 프로세스를 종료하는 루틴을 실행합니다.
위의 애플리케이션을 종료하면 프로세스가 보유한 파일이 해제되면서 페이로드가 더 많은 파일에 액세스할 수 있게 됩니다.
악성코드 실행 과정을 설명하기 위해 GlobeImposter 랜섬웨어 페이로드 실행 후 프로세스 트리를 구축했습니다. 앞서 언급했듯이 스크립트가 페이로드를 다운로드한 후 자식 프로세스를 호출하는 것을 확인할 수 있습니다.
자식 프로세스는 암호화 작업이 완료된 후 실행되는 배치 파일을 생성합니다. 테스트 환경에서 확인된 배치 파일 "__t8D.tmp.bat" 은 볼륨 섀도 복사본, 시스템 레지스트리에 저장된 원격 데스크톱 정보, 그리고 %UserProfile%\Documents\Default.rdp 파일을 삭제하는 역할을 합니다 . 또한, 이 배치 파일은 wevutil.exe를 사용하여 이벤트 뷰어 로그에서 모든 흔적을 제거합니다.
GlobeImposter에서 발견된 또 다른 변화는 지속성 사용이었습니다. HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce 에 레지스트리 항목이 추가되어 재부팅 시 페이로드가 다시 실행됩니다.
이는 매우 이상한 현상입니다. 왜냐하면 해당 랜섬웨어는 wevutil.exe를 사용하여 이벤트 로그에서 흔적을 제거했고, 실행 완료 후 자체 삭제 루틴을 통해 RunOnce AutoStart 기능을 유지했기 때문입니다.
암호화된 파일에는 원래 파일 이름과 확장자에 ".492" 접미사가 추가되었지만 , 이후 유사한 활동을 보이는 다른 페이로드가 ".astra" 접미사를 추가하는 것을 확인했습니다. 두 변종 모두 랜섬웨어 메시지 파일 이름은 " here_your_files!.html "로 동일했습니다. 또한, 이 악성 페이로드는 유효한 디지털 서명을 가지고 있는 것으로 보이며, 이는 일부 보안 제품의 탐지를 회피하는 데 도움이 될 수 있습니다.
GlobeImposter는 이전에는 주로 RAAS(Real Application Service) 특성 때문에 RDP 해킹 전용 악성코드로만 관찰되었지만 , 이제는 Locky, Cerber, Troldesh와 같은 다른 대형 랜섬웨어와 유사한 형태로 진화한 것으로 보입니다. 이전 GlobeImposter 변종들처럼 복호화 도구가 공개될지는 시간이 지나야 알 수 있을 것입니다.
Seqrite Detection System
- Seqrite 엔드포인트 보안 브라우징 보호 악성 URL을 차단합니다. 해로운
- Seqrite 엔드포인트 보안 바이러스 보호 기능은 스크립트 파일을 탐지합니다. “JS.랜섬.티” 그리고 페이로드는 "로 감지됩니다.글로벌임포스트”.
- 악성 배치 파일이 감지되었습니다. Seqrite 엔드포인트 보안 바이러스 보호 “BAT.에이전트.EP”.
IOC
해시
스크립트:
- 172fc1e1c84eeccaa2cc4f646ba929ff1177eda3a59f57b7aa4ac0c4083f1046
페이로드 :
- 1886123ec6ddd00b6fa46f7f76a27add6b0d90368a52b570ba67133717e50d9d
- 2da51aaa81c4a93f272e9a57976abbd09b67efb3f9c533851f495ba7614792a1
관련 파일
- 여기_당신의_파일!.html
- tmp.bat
네트워크 연결
- hxxp://foolerpolwer.info/admin.php?f=3
수신 통보
- 주제 전문가
Nikhil Yeole, Prashant Tilekar, Shantanu Vichare | Quick Heal 보안 연구소
