지난 몇 달 동안 우리는 사이버 위협을 모니터링해 왔습니다. MSME[중소기업] 부문 인도 내에서 중소기업(MSME) 부문은 인도 경제의 중추로 여겨집니다. 중소기업은 인도 전체 노동력의 약 40%를 고용하고 있으며, 제조업 생산량의 약 45%, 수출의 40%를 차지합니다. 심각한 재정난에 직면한 중소기업은 현재 진행 중인 코로나19 팬데믹으로 가장 큰 타격을 받고 있습니다.
우리는 2020년 XNUMX월 말 MSME에서 유사한 파도 하나를 관찰했습니다. 피싱 코로나19 관련 악성코드로 피해자를 유인하는 캠페인. 이 캠페인에서 눈에 띄는 파일 하나는 다음과 같습니다.
| 파일 이름 | 마스크 주문.doc |
| MD5 | 4FC5BA9426E9191AAB4E694E7E703E13 |
| SHA-1 | B5EBAF2F5AF220FE1B1DE5433C2E39FF16B0C0B4 |
| SHA-256 | 2022D9CC42ED2838DAA442561107C29297BDDB88B36222345C10B39164E66819 |
| 널리 퍼짐 | 300+ |
기술적인 세부 사항
피해자들은 "face mask order.zip"이라는 압축 파일이 첨부된 이메일을 받았는데, 이 이메일에는 피해자의 컴퓨터에 맬웨어를 유포하는 악성코드가 포함되어 있었습니다. 공격은 "face mask order.doc" 파일을 열면 시작됩니다. 이 RTF 파일은 CVE-2017-11882 취약점을 악용하여 임의 코드를 실행하는 악용 프로그램으로 구성되어 있습니다.
CVE-2017-11882 분석:
악성 rtf 문서에는 두 개의 악성 ole 객체가 포함되어 있습니다.
이 도구는 RTF 파일에서 OLE 객체를 추출합니다. OLE 객체(#0)는 VBScript 파일(예: ServerCrypted.vbs 스크립트)이고, 객체(#2)에는 수식 편집기 익스플로잇과 "CmD.exe /C cscript %tmp%\ServerCrypted.vbs".
OLE 개체(#0)는 그림 4에 표시된 대로 실행 파일(예: ServerCrypted.vbs 스크립트)입니다.
이 객체(#2)의 클래스 이름은 Equation.3입니다. 아래 이미지에 표시된 것처럼 악용 사례(CVE-2017-11882)입니다.
또한 아래 그림 6에 표시된 것처럼 ServerCrypted.vbs 스크립트를 실행하는 명령도 포함되어 있습니다.
CVE-2017-11882는 Microsoft Office 수식 편집기(EQNEDT32.EXE) 구성 요소에 존재합니다. 공격자는 MS Office의 수식 편집기 구성 요소에 있는 스택 버퍼 오버플로 취약점을 악용하여 임의 코드를 실행할 수 있습니다. 이 취약점의 근본 원인은 수식 편집기 OLE 개체 데이터의 FONT 레코드 구조 내에 정의된 FONT 이름의 무제한 문자열을 복사하는 것입니다.
아래 그림은 로컬로 생성된 버퍼에 글꼴 이름을 복사하는 동안 발생하는 스택 버퍼 오버플로 시나리오를 보여줍니다.
이 경우, 함수는 WinExec의 주소인 0x430c12로 "돌아가기"를 반복하고, 인수는 공격자가 실행하고자 하는 "글꼴 이름"과 명령입니다.
VBScript 분석:
성공적인 악용 후, cmd.exe는 다음 명령과 함께 실행됩니다.
“/c cscript %tmp%\ServerCrypted.vbs >> AC”
이 명령은 ServerCrypted.vbs의 코드를 실행하기 위해 cscript.exe 프로세스를 생성합니다. VBScript 파일은 이미 % temp %를 WinWord 프로세스별 폴더입니다. 아래 그림은 VBScript 코드를 보여줍니다. 그림 9와 그림 10에서 볼 수 있듯이, 공격자는 함수 이름, 변수 이름, 문자열에 일부 AV 공급업체 이름을 사용했습니다. 이 VBScript는 cmd.exe와 powershell.exe라는 두 프로세스를 실행합니다. 그림 10은 난독화된 PowerShell 스크립트를 보여줍니다.
PowerShell 분석:
그림 11은 난독화가 해제된 것을 보여줍니다. PowerShell을 스크립트.
아래에 표시된 것처럼 스크립트는 .jpg 확장자를 가진 두 개의 파일을 다운로드합니다. 첫 번째 파일 "15882060891.jpg"는 그림 12와 같이 C#으로 작성된 인코딩된 인젝터 DLL을 포함하는 PowerShell 스크립트입니다. 이 DLL은 PowerShell에 의해 메모리에 로드됩니다. 이 스크립트에서 공격자는 FlorianRoth 및 Cyb3rOps와 같이 인젝터 DLL의 클래스 및 함수에 흥미로운 이름을 사용했습니다. Florian Roth는 저명한 보안 연구원이자 CTO입니다. 넥스트론 시스템즈Cyb3rOps는 그의 트위터 아이디입니다. PowerShell에서 다운로드된 두 번째 파일은 "15882060892.jpg"이며, 인코딩된 에이전트 테슬라 페이로드입니다. 이 페이로드는 Windows 네이티브 바이너리 RegAsm.exe에 삽입됩니다.
아래는 hxxp://www[.]m9c[.]net/uploads/15882060891.jpg의 인코딩된 데이터입니다. 이는 PowerShell 코드와 인코딩된 인젝터 DLL 데이터입니다.
인젝터 DLL의 PE 헤더를 디코딩한 후 볼 수 있습니다.
아래 그림은 hxxp://www[.]m9c[.]net/uploads/15882060892.jpg 파일의 내용을 보여줍니다. 이는 최종 페이로드의 인코딩된 데이터입니다.
최종 탑재물 – 테슬라 요원:
아래 그림은 RegAsm.exe에 주입된 Agent Tesla 페이로드를 보여줍니다.
에이전트 테슬라는 닷넷(DotNet) 기반으로 작성된 악명 높은 키로거이자 정보 유출 도구입니다. 이 악성코드는 웹 브라우저, 이메일 클라이언트, FTP 클라이언트, 메신저 애플리케이션, VPN 클라이언트 등 다양한 애플리케이션에서 정보를 훔치고 시스템 스크린샷도 촬영할 수 있습니다. 훔친 모든 데이터는 SMTP를 통해 유출됩니다.
우리는 이미 지난 몇 번의 블로그에서 Agent Tesla를 탐색하고 분석했습니다.
코로나바이러스 테마 캠페인, Agent Tesla 맬웨어 배포
맺음말
위에 공유된 대부분의 TTP는 지난 몇 년 동안 여러 차례 발견되었습니다. Quick Heal은 악성코드, C2, 그리고 기술 실행을 분석하여 중소기업(MSME) 부문을 겨냥한 이 캠페인을 고르곤 그룹(일명 수밧)과 연관시켰습니다. 고르곤 사이버 범죄 조직의 모든 구성원은 파키스탄에 기반을 둔 이해관계/연줄을 가지고 있다고 주장합니다. 최근, 또 다른 고르곤 캠페인 몇 달 전에 동일한 상용 맬웨어 RAT를 사용하여 목적을 달성한 사례가 발견되었습니다.
COVID-19의 전 세계적 영향을 고려할 때, 위협 행위자들은 자신들의 목적을 달성하기 위해 COVID-19 관련 이메일을 통해 악성코드를 광범위하게 유포하는 방식을 계속 사용할 것으로 예상됩니다. 이러한 추세를 고려하여, 중소기업(소규모 기업)은 첨부 파일이 포함된 COVID-19 관련 이메일을 더욱 면밀히 검토할 것을 권장합니다. 대기업, 주요 정부 인프라 등은 이러한 사이버 위협에 대한 회복력을 어느 정도 갖추고 있지만, 중소기업(MSME)은 여전히 위험을 은폐하고 위험을 완화하기 위한 강력한 전략을 통해 경계를 강화해야 합니다.
위협 보호
Seqrite Quick Heal 제품군은 Microsoft Office 메모리 손상 취약점(CVE-2017-11882) 및 Agent Tesla RAT 변종을 포함한 주요 사이버 위협으로부터 보호합니다. 당사의 고급 시그니처 기반이 아닌 행동 기반 탐지 기술은 Agent Tesla 변종을 효과적으로 차단합니다.
Quick Heal은 사용자들에게 충분한 주의를 기울이고, 원치 않는 이메일의 첨부 파일을 열거나 웹 링크를 클릭하지 않도록 권고합니다. 또한, 사용자는 운영 체제를 최신 상태로 유지하고 모든 기기에 완벽한 보안 솔루션을 설치해야 합니다.
적절한 스팸 필터링, 적절한 시스템 관리 및 최신 Windows 호스트를 갖춘 조직은 감염 위험이 훨씬 낮지만 조직에서는 설치를 검증하는 것이 좋습니다. CVE 2017-11882에 대한 Microsoft 패치.
Quick Heal의 연구팀에서는 중소기업을 타겟으로 하는 모든 캠페인을 사전에 모니터링하고 고객의 안전을 보장하기 위해 끊임없이 노력하고 있습니다.
주제 전문가:
- 칼페쉬 만트리
- 바장 마네
- 파반쿠마르 차우다리
