랜섬웨어 발생은 꽤 오랫동안 증가해 왔지만, 갑자기 이러한 추세에 변화가 나타나고 있습니다. 특히 비트코인을 중심으로 암호화폐 가치가 상승하면서 공격자들이 랜섬웨어를 노리고 있는 것으로 보입니다. 암호 화폐 채굴. 암호화폐 채굴 악성코드는 사이버 범죄자들의 주요 공격 경로가 되었습니다. 현재 채굴의 복잡성을 고려할 때, 효과적인 암호화폐 채굴을 위해서는 컴퓨터 채굴 풀(pool)이 필요합니다. 이를 위해 사이버 범죄자들은 채굴 악성코드를 이용하여 최종 사용자의 컴퓨터를 공격하고 채굴 풀을 생성하려 합니다. 이러한 유형의 채굴 공격은 다음과 같이 정의할 수 있습니다. 분산 채굴.
이 블로그 게시물에서는 암호화폐 채굴을 목표로 하는 진행 중인 분산 채굴 캠페인에 대해 설명합니다. 모네로모네로(XMR)는 2014년 XNUMX월에 출시된 오픈소스 암호화폐입니다. 암호화폐 채굴에는 엄청난 연산 능력이 필요합니다. 사이버 범죄자들은 최종 사용자 기기의 처리 능력을 악용하여 목표 암호화폐를 채굴하고 있습니다. 해커들은 이를 위해 주로 워드프레스에 호스팅된 여러 웹사이트를 해킹하여 모네로 채굴기를 배포하고 있습니다.
Quick Heal Security Labs에서 수신한 원격 측정 데이터에 따르면, 침해된 웹사이트에는 정부, 제약 회사, 교육 기관의 웹사이트가 포함되어 있습니다.
공격 체인
이 인포그래픽은 이 캠페인의 공격 체인을 보여줍니다.
이 캠페인에서는 알려진 취약점이 있는 웹사이트를 표적으로 삼습니다. 악용되면 악성 난독화된 자바스크립트가 웹페이지에 삽입됩니다. 사용자가 이러한 감염된 웹사이트에 접속하면, 삽입된 자바스크립트는 사용자를 유인하여 가짜 글꼴 업데이트를 다운로드하게 합니다. 가짜 글꼴 업데이트가 실행되면, 모네로 채굴기가 다운로드되어 사용자 시스템에서 실행됩니다. 이 공격은 현재 구글 크롬과 파이어폭스 브라우저 사용자만을 대상으로 합니다.
이 공격의 여러 단계를 자세히 살펴보겠습니다. 아래 피들러 세션 캡처는 공격 순서를 보여줍니다. 공격 시퀀스는 제약 회사의 손상된 웹사이트의 시퀀스입니다..
삽입된 JavaScript를 실행하면 글꼴 업데이트 창이 팝업됩니다. 분석은 Google Chrome 브라우저에서 수행되었으며, 분석 중에 "Chrome Font Pack"을 업데이트하는 팝업이 나타났습니다. 그림 3은 팝업 창을 보여줍니다.
업데이트 버튼을 클릭하면 화면에 안내 페이지가 나타납니다. 또한 Google Chrome의 기본 다운로드 디렉터리에 악성 ZIP 파일이 다운로드됩니다. 팝업 창에 표시되는 안내는 사용자에게 파일을 실행하라는 내용입니다.
다운로드된 ZIP 파일('ttf.zip')에는 악성 'ttf.js' 파일이 포함되어 있습니다. 사용자가 'ttf.js' 파일을 클릭하면 'cscript.exe'에 의해 실행되어 악성 실행 파일(즉, Monero 채굴기)이 다운로드됩니다.
자바스크립트 분석
주입된 JavaScript는 난독화되어 있습니다. 난독화 해제 루틴과 Base64로 인코딩된 긴 문자열로 구성되어 있습니다.
위에 주입된 JavaScript의 난독화를 해제하면 아래 코드가 드러납니다.
위의 그림 6에서 볼 수 있듯이, 이는 사용자를 아래 악성 URL로 리디렉션합니다.
“hxxp://bmooc[.]net/wp-content/service/cat[.]php?m=f”.
위의 URL은 아래와 같은 또 다른 악성 JavaScript 코드를 가져옵니다.
위의 악성 자바스크립트는 Google Chrome과 Firefox 브라우저에서만 팝업 창을 로드합니다. 그러면 사용자에게 가짜 글꼴 업데이트 파일(예: 'ttf.zip')을 다운로드하도록 유도하고 설치 방법을 안내합니다.
모네로 채굴자 감염 후 활동
Monero 마이너가 성공적으로 실행되면 아래의 감염 후 트래픽이 생성됩니다.
분석 시점에 CnC 서버가 예상대로 응답하지 않았습니다.
알려진 취약점이 있는 웹사이트를 감염시키는 오래된 수법은 대량 감염의 효과적인 방법으로 밝혀졌습니다. 이 캠페인은 감염된 웹사이트를 이용하여 모네로 채굴기를 통해 대량 사용자를 감염시킵니다. 이를 통해 모네로 채굴기의 분산 네트워크가 형성됩니다. 디지털 화폐 채굴이라는 복잡한 문제를 해결하는 데 있어 이러한 분산형 채굴자 풀 네트워크는 효과적인 도구로 활용됩니다. 사용자 여러분께서 안전한 보안을 유지하시기를 권장합니다. 안티 바이러스 최신 보안 업데이트로 업데이트하세요.
타협의 지표
bmooc[.]net
buyorganicvisitors[.]com
47D3C7B7510F7AA962B184CBF41EF630
주제별 전문가
프라딥 쿨카르니 | 프라샨트 틸레카르, 퀵힐 시큐리티 랩스
