퀵힐랩스는 2016년부터 이 사이버 스파이 활동을 추적해 왔습니다. 저희는 이 공격을 'm_project' 작전으로 명명했습니다 . 지난 1년 동안 이러한 APT 활동이 급증하는 것을 확인했습니다. 공격자들의 공격 방식은 수년 동안 동일하게 유지되었습니다. 공격자는 악성 오피스 문서가 첨부된 스피어 피싱 이메일을 발송하는데, 이 문서는 오피스 시스템의 취약점을 악용하거나 VBA 매크로를 사용합니다. 취약점 악용에 성공하면 MSIL 기반 RAT(원격 접속 트로이목마)가 다운로드됩니다. 이 RAT는 데이터를 탈취하여 C2 서버로 전송합니다.
최근 캠페인에서 우리는 다음과 같이 두 가지 다른 변형을 발견했습니다.
변형 1 :
관찰된 문서 파일에서 공격자는 군사 행사인 '제72인도군의 날'을 미끼로 삼아 수신자에게 훈련 및 기타 세부 정보를 볼 수 있는 링크를 열도록 요청하는 것으로 나타났습니다.
피해자가 해당 링크를 클릭하면 실제 악성 매크로 코드가 포함된 또 다른 doc 또는 xls 파일이 다운로드되어 열립니다.
매크로 코드가 포함된 파일은 문자열을 디코딩하여 컴퓨터의 디스크에 PK(zip 아카이브) 파일로 저장합니다. 매크로 코드는 PK(zip) 파일의 압축을 풀 위치를 정의하고, 운영 체제 버전을 확인한 후 압축을 풀고, PE 파일을 실행합니다.
해당 악성코드의 페이로드 는 .NET 어셈블리 파일이며, 이는 Crimson Rat 계열의 파일로, 실행 후 공격자가 제어하는 CnC 서버에 연결됩니다.
피해자 호스트가 CnC 서버에 연결되면, 피해자 머신으로 명령을 전송하여 OS 정보와 사용자 정보를 가져옵니다. 즉, CnC 서버가 다운되면 페이로드는 아무런 작업도 수행하지 않습니다.
우리는 현재 컴퓨터의 스크린샷을 찍고, 모든 중요한 데이터와 데이터를 빼내고, CnC 서버로 파일을 보내는 등 다양한 기능을 수행하는 여러 모듈을 관찰했습니다. 흥미로운 점은 특정 모듈은 피해자의 서버에서 파일을 삭제할 수도 있다는 것입니다.
아래는 CnC 명령 통신입니다.
변형 2 :
우리는 백도어를 실행하기 위해 다른 기법을 사용하는 또 다른 변종 Transparent Tribe를 발견했습니다. 미끼 문서의 내용은 일부 정부 직원을 유인하는 데 사용됩니다. 이 캠페인에서 미끼 문서는 다음과 같이 사용됩니다.
공격자는 상대적인 데이터를 사용하여 사용자를 속여 문서를 열게 하고 매크로 코드를 실행합니다. 매크로가 활성화되면 악성 활동이 시작됩니다. 먼저, '%programdata%\systemidlepref' 위치에 zip 파일과 VBS 스크립트, CS 파일을 하나씩 추가합니다. 매크로 코드 자체가 디스크에 단일 zip 구성 요소를 추가하고 압축을 해제하는 이전 변종과 달리, 이 변종에서는 .vbs 코드를 사용하여 파일을 디스크에 압축 해제합니다. windproc.scr이 실행되면 Realtime.cs 파일에서 컴파일된 Realtime.scr 파일이 호출됩니다. Realtime.scr 파일의 주요 목적은 CnC 서버에서 최종 페이로드를 다운로드하는 것입니다. 다운로드된 파일 이름은 x64.scr이며, 이는 또 다른 .NET 파일입니다.
X64.scr은 %programdata%\SppExtComTel 폴더에 'SppExtComTel.scr' 폴더와 동일한 이름의 구성 요소를 추가합니다. 'SppExtComTel'의 .LNK 파일도 시작 위치에 추가되어 시스템에 영구적으로 저장됩니다.
실제 악성 활동을 수행하는 SppExtComTel.scr이 실행되면 실행 중인 프로세스 정보와 PID 등 시스템 정보를 수집하여 CnC 서버로 전송합니다.
처음에는 'C:\Windows\system32' 위치에 'rundll32.exe'가 있는지 확인합니다. 존재하는 경우, 첫 번째 무한 while 루프로 들어가 'whatcostus()' 함수에서 값이 반환되면 종료됩니다.
다음은 'whatcostus()'의 코드입니다.
프로세스 이름, 프로세스 ID, MainWindowTitle 등 실행 중인 프로세스 정보를 열거하여 로컬 배열에 저장합니다. 수집된 정보는 'HTTP POST' 방식을 통해 CnC 서버로 전송됩니다.
URL 정보가 포함된 변수 주소는 실행 시점에 난독화가 해제됩니다.
hxxp://awsyscloud[.]com//E@t!aBbU0le8hiInks/cred!tors[.]php
서버로 데이터를 전송한 후, 서버는 요청이 유효한 경우에만 제어어를 응답으로 보냅니다. 이 제어어를 텍스트 변수에 할당하면 무한 while 루프가 종료됩니다. 응답이 NULL인 경우, while 루프는 whatcostus() 함수에 따라 다시 실행됩니다.
나중에 코드 분석에 따라 다른 파일을 다운로드하여 추가 활동을 위해 해당 파일을 실행할 수도 있습니다.
MITRE ATT&CK 적용 범위:
다음은 APT Transparent Tribe에서 관찰된 ATT&CK 기술입니다.
| 초기 액세스 | 실행 | 고집 | 방어 회피 | 발견 | 수집 | 명령 및 제어 | 여과 |
| 스피어피싱 첨부 파일 | 명령 줄 인터페이스 | 레지스트리 실행 키/시작 폴더 | 배송 후 컴파일 | 프로세스 발견 | 화면 캡처 | 사용자 정의 명령 및 제어 프로토콜 | 명령 및 제어 채널을 통한 유출 |
| 스피어피싱 링크 | 모듈 로드를 통한 실행 | 스크립팅 | 쿼리 레지스트리 | 원격 파일 복사 | |||
| 스크립팅 | 보안 소프트웨어 발견 |
첨부 파일 이름:
- csoi for dhcp offer list.xls
- 1562850317-circular1.xls
- 특별 혜택.doc
- 육군 장교 기준.doc
- 7-전체-선택-목록.xls
- 모든 국방 인력을 위한 권고.doc
IOC의:
| 6099E910FC0D4C9F3D884E8DB70BB407 | XLS |
| 4B103160DAB1837CF64EBA8E9FA4C2EC | XLS |
| 1f8076bad6a2d7963a813f2f81fe0647 | 의사 |
| 2fbc14f02a8325c9f40da4640349e95c | 의사 |
| A3a0750d74705d235b60556f1331ae9b | PE |
| D333BAE2C45FE431BEFD7A88F1D7A540 | PE |
참조-
https://blogs.quickheal.com/beware-email-attachments-can-make-victim-spear-phishing-attacks/
https://blogs.quickheal.com/quick-heal-labs-report-on-targeted-attack-named-m_project/
https://blogs.quickheal.com/wp-content/uploads/2016/03/Report.pdf
결론-
두 변종 모두 표적 공격에 사용되므로, 유인 문서 매크로, 페이로드 전달 메커니즘, .NET 어셈블리 등의 유사점이 있습니다. 정치적, 지리적 영향으로 인해 이러한 스파이 활동은 앞으로도 인도의 민감한 조직을 표적으로 삼을 것입니다.
주제 전문가:
아니루다 돌라스
프라샨트 틸레카르
파완 차우다리
