실제 사례로 살펴보는 안다리엘 위협 그룹의 특징과 공격 기법

M5 plc-wave 23.08.25. 10:33:00

403 6

* 출처는 안랩입니다.

안다리엘(Andariel) 그룹은 라자루스(Lazarus)의 협력 또는 하위 조직으로 알려져 있다. 안다리엘은 2008년부터 국방, 정치기구, 조선, 에너지, 통신 등 안보와 관련된 국내의 기업 및 기관을 대상으로 공격을 수행해왔다. 이 외에도 대학교, 운송업체, ICT 업체도 공격의 표적으로 삼았다.

먼저 안다리엘 그룹의 특징을 간단히 설명하면, 안다리엘은 최초 침투 과정에서 주로 스피어 피싱이나 워터링 홀(Watering Hole), 공급망 공격을 수행한다. 악성코드를 설치하는 과정에서 중앙관리 솔루션을 악용하기도 한다. 이들은 공격에 사용되는 다양한 악성코드를 직접 제작하는데, 그 예시로는 안다랫(Andarat), 안다랫엠(Andaratm), 판도어(Phandoor), 리프도어(Rifdoor), 그리고 수년 전부터 확인된 타이거랫(TigerRAT), 매직랫(MagicRAT)과 같은 백도어 유형이 대부분이다.

올해 상반기 안다리엘 그룹의 공격 사례에서는 고(Go) 언어 기반의 악성코드가 다수 확인됐다. 과거 이노릭스 에이전트(Innorix Agent)를 악용한 공격에서는 고 언어로 개발된 리버스 쉘(Reverse Shell)이 사용됐으며, 국내 기업을 대상으로 한 공격에는 블랙랫(BlackRAT)이 발견됐다. 블랙랫 악성코드 역시 고 언어로 제작됐으며, 명령 실행뿐만 아니라 파일 다운로드, 스크린 캡처 등의 기능도 지원한다. 이 같은 흐름은 최근까지도 이어져 고트랫(Goat RAT), 두리안비콘(DurianBeacon)과 같은 고 언어로 제작된 다양한 악성코드가 공격에 사용되고 있다.

[그림 1] 고 언어로 개발된 두리안비콘의 소스 코드 정보

이제 본격적으로 안다리엘 그룹이 최근 국내 기업을 공격한 사례를 살펴보자. 안다리엘 그룹은 올해 3월 국내 빙산 업체 및 전자 장비 업체를 공격해 악성코드를 유포했다. 최초 침투 방식은 아직 확인되지 않았지만, 안랩의 ASD(AhnLab Smart Defense) 인프라에서는 mshta.exe 프로세스가 타이거랫(TigerRAT)을 설치한 로그와 mshta.exe 프로세스를 종료하는 로그가 확인됐다. 이 점으로 미루어 보아, 스피어 피싱 공격으로 추정된다.

[그림 2] 타이거랫을 설치하는 mshta 프로세스

참고로 타이거랫은 안다리엘 그룹이 2020년부터 최근까지 꾸준히 사용해 오고 있는 RAT 악성코드로, 스피어 피싱 메일에 첨부된 악성 매크로 문서 파일이나 워터링 홀 공격을 통해 유포된다. 타이거랫은 파일 작업, 명령 실행과 같은 기본적인 기능 외에 정보 수집, 키로깅, 스크린 캡처, 포트 포워딩 등의 기능도 지원하며, C&C 서버와 최초로 통신할 때 인증 과정이 존재한다. 인증 시에는 [그림 3]처럼 SSL 통신을 위장한 문자열을 사용한다.

[그림 3] C&C 서버와의 인증에 사용된 문자열(과거 버전)

또한, 리버스 쉘(Reverse Shell)과 바인드 쉘(Bind Shell) 방식의 누크스페드(NukeSped) 백도어 변종도 공격에 사용됐다. 이 악성코드는 네트워크 스캐닝, 프로세스, 파일 조회, 파일 업로드/다운로드, 명령 실행 등을 지원하며, 타이거랫과 유사하게 C&C 서버와 통신하기 전에 인증 과정을 거친다. 다만, 타이거랫과 누크스페드는 각각 SSL 통신, HTTP 통신으로 위장한다는 점에서 차이가 있다. 누크스페드는 [그림 4]와 같이 POST 요청을 전송한 후 정확히 매칭되는 HTTP 응답이 올 경우에만 C&C 서버와 통신한다.

[그림 4] 인증에 사용되는 HTTP 패킷

최신 공격 사례에서는 이노릭스 에이전트가 악성코드를 다운로드하지 않고 직접 생성하는 방식이 사용됐다.

공격에 사용된 악성코드는 기존에 안다리엘 그룹이 사용한 유형은 아니지만, 이노릭스가 공격에 사용된 점, 국내 대학교를 주요 표적으로 삼았다는 점 등에서 일부 과거의 공격 사례와 유사한 부분도 있다. 더 나아가, 비슷한 시기에 국내 ICT 및 전자 장비, 조선, 제조업 등 다양한 산업군의 기업을 겨냥한 공격 사례가 확인됐으며, 분석 결과 이노릭스 악용 사례에서 발견된 악성코드와의 연관성도 확인할 수 있었다.

또한, 안랩은 이노릭스 에이전트를 악용한 공격 사례와 별개로, 유사한 시점에 발생한 또 다른 공격을 확인했다. 이 역시 최초 유포 경로는 확인되지 않았지만, 난독화에 닷푸스카터(Dotfuscator) 툴을 사용하는 악성코드가 사용됐다. 해당 악성코드는 C&C 서버와 SSL 통신을 수행하며, C&C 서버와 연결할 경우 ‘sslClient’ 문자열이 사용된다. 난독화 툴과 C&C 서버와의 통신 방식 모두 안다르도어(Andardoor)와 동일하거나 유사하다는 점이 특징이다.

[그림 5] C&C 서버와의 SSL 연결 과정

해당 공격에 사용된 악성코드는 외부에서 닷넷 어셈블리와 같은 실행 가능한 데이터를 받아 실행하는 다운로더 기능이 전부이다. C&C 서버가 내린 명령들 중 [표 1]의 명령에 따라 전달 받은 코드를 실행하거나 종료할 수 있다.

명령	기능
alibaba	다운로드한 닷넷 어셈블리 실행
facebook	다운로드한 닷넷 메쏘드 실행
exit	종료
vanish	자가 삭제 및 종료

[표 1] 수행 가능한 명령 목록

이 밖에, 안랩은 공격 과정에 두리안비콘 악성코드가 사용된 정황도 포착했다. 두리안비콘은 각각 고 언어와 러스트 언어로 개발된 2가지 형태로 존재하며, 모두 백도어 악성코드이다. 두리안비콘 역시 C&C 서버로부터 공격자의 명령을 받아 악성 행위를 수행한다.

고 버전과 러스트 버전의 두리안비콘은 C&C 서버와 통신하는 방식이 서로 다르다. 고 언어로 개발된 두리안비콘은 SSL 프로토콜을 사용해 C&C 서버와 통신하지만, 러스트 버전의 두리안비콘은 XOR 이용한 패킷 암호화를 지원한다. 하지만 최초 접속 이후 감염 대상 시스템의 IP 정보와 사용자 이름, 데스트탑 PC 이름, 아키텍처, 파일명을 전송한 후, 명령을 대기하고, 명령 전달 시 결과를 반환한다는 점은 두 버전 모두 동일하다. 러스트 버전의 두리안비콘이 지원하는 XOR 암호화란 무차별 대입 방식, 즉, 올바른 암호 텍스트와 일치하는 암호화 키를 임의로 생성하는 암호화 기법을 말한다.