수년간 잘못 알려져 왔던 Transparent Tribe의 하위 구분에 대한 통찰력.
개요
퀵힐의 threat intel최근 저희 법무팀은 인도 국방군에 대한 고도화된 지속적 위협(APT)의 증거를 발견했습니다. 분석 결과, 지난 1년간 발생한 여러 공격과 기존 캠페인이 공통된 국제 석유 기업(IOC)에 의한 '사이드카피 작전'과 연관되어 있는 것으로 나타났습니다.
중요한 발견들
- Operation SideCopy는 2019년 초부터 현재까지 진행 중입니다.
- 이 사이버 작전은 인도 방위군과 군인만을 표적으로 삼았습니다.
- 발견된 맬웨어 모듈은 지속적으로 개발되고 있으며, 피해자 데이터를 정찰한 후 업데이트된 모듈이 출시됩니다.
- 공격자는 악성 소프트웨어 감지를 추적하고 AV에서 감지되면 모듈을 업데이트합니다.
- 거의 모든 CnC는 Contabo GmbH에 속하며 서버 이름은 다음에서 찾을 수 있는 머신 이름과 유사합니다. 투명한 부족 보고서.
- 이 위협 행위자는 Sidewinder APT 그룹을 가리키는 TTP를 복사하여 보안 커뮤니티를 오도하고 있습니다.
- 우리는 이 위협 행위자가 Transparent Tribe APT 그룹과 연관이 있다고 의심합니다.
슬립폼 공법 선택시 고려사항
몇 달 전, Quick Heal의 차세대 행동 감지 시스템이 평판이 좋지 않은 일부 웹사이트에서 HTA를 실행하는 몇몇 프로세스에 대해 경고를 보냈습니다.
우리는 여러 고객에 걸쳐 mshta.exe에서 연결된 URL 목록을 작성했습니다.
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/군인-특수-수당-명령/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/국방-생산-정책-2020/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Images/8534
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/IncidentReport/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/ParaMil-Forces-Spl-Allowance-Order/html/
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Req-Data/html
hxxps://demo[.]smart-hospital[.]in/uploads/staff_documents/19/Sheet_Roll/html
hxxps://demo[.]smart-school[.]in/uploads/staff_documents/9/Sheet_Roll/html
hxxps://demo[.]smart-school[.]in/uploads/student_documents/12/css/
hxxps://drivetoshare[.]com/mod[.]gov[.]in_dod_sites_default_files_Revisedrates/html
강조된 내용은 인도 방위군과 군인들에게 전송되었습니다.
우리는 이 캠페인이 인도의 중요한 조직을 표적으로 삼고 있다는 것을 알고 이를 추적하기 시작했습니다.
이 작전의 흔적은 2019년 초부터 현재까지 추적할 수 있습니다. 지금까지 3단계의 감염 경로가 관찰되었습니다.
두 체인의 초기 감염 벡터는 악성 스팸 메일에서 유래된 LNK 파일이었습니다. 하지만 한 사례에서는 공격자가 템플릿 주입 공격과 수식 편집기 취약점(CVE-2017-11882)을 초기 감염 벡터로 활용하는 것이 확인되었습니다. 세 번째 사례의 초기 감염 벡터는 다르지만, 최종 페이로드는 처음 두 체인과 유사합니다.
아래 이미지는 피해자 컴퓨터의 맬웨어 감염에 대한 개요를 제공합니다.
감염 사슬 – 버전 1:
감염 사슬 – 버전 2:
감염 사슬 – 버전 3:
우리는 최신 보고서에서 이 모듈 각각에 대한 심층 분석을 제공했습니다. 여기에서 찾을 수 있습니다.
본 논문의 배경 및 분석은 이 작전에서 악성코드 사용에 대한 저희의 현재 생각에 대한 완전한 포렌식 및 유용한 세부 정보를 제공합니다. 저희는 귀속을 결정한 모든 요소를 제시했습니다.
해당 분야 전문가:
Kalpesh Mantri, 수석 보안 연구원
파완 차우다리, 위협 연구 과학자
Goutam Tripathy, 수석 보안 연구원
