스몰타이거 악성코드, 국내 기업 중심으로 유포 중

M5 plc-wave 24.06.06. 09:11:33

898 28

* 출처는 안랩입니다.

안랩은 최근 국내 방산업체와 자동차 부품 및 반도체 제조업체를 대상으로 유포 중인 스몰타이거(SmallTiger) 악성코드에 대응하고 있다. 최초 침투 과정은 확인되지 않았지만, 공격자가 측면 이동하는 과정에서 기업 내부에 스몰타이거가 유포된 것으로 확인됐다. 스몰타이거 악성코드의 유포 과정을 자세히 알아보자.

해당 공격은 작년 11월에 최초로 확인됐으며, 공격 대상이 된 시스템에서 확인된 악성코드를 보면 김수키(Kimsuky) 그룹의 소행으로 추정된다. 하지만 내부 전파 과정에서 기업 내의 소프트웨어 업데이트 프로그램을 악용했다는 점에서 일반적인 김수키의 공격 방식과 조금 차이가 있다. 또, 최종적으로 설치된 백도어 악성코드가 과거 안다리엘(Andariel)의 공격 사례에서 확인된 두리안비콘(DurianBeacon)이었다는 점도 이색적이다.

공격자는 올해 2월부터 공격을 재개했다. 최종적으로 유포되는 악성코드도 기존 두리안비콘에서 ‘스몰타이거’로 변경됐다. 스몰타이거를 활용한 공격 사례는 최근까지도 지속되고 있다.

먼저, 두리안비콘을 이용한 사례를 간단히 살펴보자. 당시, 멀티RDP(MultiRDP) 악성코드와 미터프리터(Meterpreter)를 이용한 정황이 확인됐다. 멀티RDP는현재 실행 중인 원격 데스크톱 서비스의 메모리를 패치해 다수의 사용자가 RDP로 접속할 수 있도록 설정하는 악성코드로 분류된다. 공격자는 멀티RDP를 통해 사용자 인지 없이 감염 대상 시스템에 다른 계정으로 로그인할 수 있으며, 김수키 그룹이 주로 사용한다. 미터프리터는 침투 테스트 목적의 프레임워크인 메타스플로잇에서 제공하는 백도어 악성코드로, 코발트 스트라이크와 유사하게 명령 실행, 정보 탈취, 측면 이동 등 기업의 네트워크를 장악하기 위한 기능들을 제공한다.

[그림 1] 파워셸(PowerShell) 명령으로 설치되는 멀티RDP 악성코드

해당 시스템에서는 기업 내의 소프트웨어 업데이트 프로그램을 통해 또다른 악성코드가 설치된 사례가 함께 확인됐다. 최종적으로 설치된 악성코드는 바로 드로퍼 악성코드인 두리안비콘 RAT 악성코드였다. 두리안비콘 RAT은 안다리엘 그룹의 공격 사례에서 많이 사용됐다.

내부 전파 과정에서 최초로 설치된 악성코드는 드로퍼로, 리소스에 존재하는 3개의 파일들을 복호화해 “mozillasvcone”라는 이름의 서비스로 설치한다. “mozillasvcone” 서비스에 의해 실행된 “%SystemDirectory%\mozillasvcone.dll”는 “%SystemDirectory%\0OGPWm4uRZ0CAkHZ9o\c0FcEpj86LSNmZ5.dll” 경로에 생성된 DLL을 로드하고, RyXmqIUMXViyw6Uvkf() 함수를 호출하는 기능을 담당한다. “c0FcEpj86LSNmZ5.dll”은 “%SystemDirectory%\OQAuagarc0wDTo\mNyKQBP3vV4uX” 경로에 생성된 암호화된 데이터 파일을 읽고 복호화해 메모리 상에서 실행한다.

최종적으로 메모리 상에서 실행된 두리안비콘은 백도어 악성코드로, 고(Go) 언어로 개발됐으며, C&C서버와의 통신 과정에서 SSL 프로토콜을 사용한다.

[그림 2] 과거 버전과 최신 버전 비교

또한, 과거 버전과 동일하게 최초 접속 이후 감염 대상 시스템의 IP 정보, 사용자 이름, 데스크톱 이름, 아키텍처, 파일명을 전송한 후 명령을 대기하며 명령 전달 시 결과를 반환한다. 차이점이 있다면, 자가 삭제 및 Socks Proxy 기능을 담당하는 0x10, 0x12 항목의 명령이 추가됐다.

명령	기능
0x00	Hibernate
0x01	Interval
0x02	파워쉘 명령 실행
0x03	디렉터리 조회
0x04	드라이브 정보
0x05, 0x06, 0x07, 0x08	파일 업로드
0x09, 0x0A, 0x0B	파일 다운로드
0x0C	디렉터리 생성
0x0D	파일 삭제
0x0E	명령 실행
0x0F	종료
0x10	자가 삭제
0x12	Socks Proxy

[표 1] 두리안비콘의 명령 목록

공격자는 최초 침투 이후 기업 내부 인프라를 장악하기 위해 두리안비콘을 조직 내부에 유포했으며, 이를 이용해 정보를 탈취했을 것으로 추정된다.

이제, 본격적으로 스몰타이거 공격 사례로 넘어가보자. 올해 2월부터 또다른 소프트웨어를 악용한 공격 사례가 발견됐다. 내부 전파 과정에서 최종적으로 DLL 포맷의 악성코드가 설치되는데, 해당 악성코드는 다운로더(DownLoader)로, C&C 서버에 접속해 페이로드를 다운로드하고 메모리 상에서 실행하는 기능을 담당한다. 안랩 분석팀은 이 다운로더 악성코드를 ‘스몰타이거’로 명명했다.

[그림 3] 공격자가 ‘스몰타이거’로 지정한 DLL 이름

공격자는 침투 과정에서 감염 대상 시스템에 미미카츠(Mimikatz)와 프록덤프(ProcDump)를 설치하기도 했으며, 이후 감염 대상 시스템의 자격 증명 정보를 탈취하기 위해 프록덤프 툴로 LSASS 프로세스의 메모리를 덤프했다. 여기서 덤프란, PC 시스템에 저장된 정보를 복사한다는 것을 의미한다.

[그림 4] 공격 과정에서 확인된 프록덤프 명령

해당 사례에서는 NirSoft의 WebBrowserPassView와 웹 브라우저 정보를 탈취하는 악성코드가 함께 확인되기도 했다. 이는 WebBrowserPassView와 유사하게 구글 크롬, 파이어폭스, 인터넷 익스플로러에 저장된 계정정보와 히스토리 정보를 추출해서 보여주는 커맨드 라인 툴이다.