0xNews - 새로운 UEFI Bootkit 악성 코드 발견

kaspersky 발표

악성 UEFI Unified Extensible Firmware Interface 펌웨어 이미지는 여러 악의적인 모듈이 통합

아프리카, 아시아, 유럽 등의 외교관이나 NGO 구성원을 대상으로 공격 수행

타켓팅 사이버 공격 캠페인으로 대상 피해자의 컴퓨터에 악성 코드를 설치하는데 목적을 둠

발표한 연구팀에서는 MosalRegressor 이라고 명명

분석을 통해 2017년부터 2019년까지 수십명의 피해자 발생

분석 결과 북한과 관련이 있는 것으로 결론

UEFI 는 펌웨어 인터페이스

보안을 향상시키는 BIOS 를 대체하여 맬웨어 Malware 가 부팅 프로세스를 변경하지 않도록 함

UEFI 는 OS 운영체제 자체의 실행을 용이하게 함

이번 공격을 통해 감염이 되면 OS 재설치나 HDD 하드 드라이브 교체에도 악성 코드 삭제 불가

UEFI 펌웨어는 지속적인 악성코드 저장의 완벽한 메커니즘을 제공

정교한 공격자는 운영체제가 실행이 된 후 악성 코드를 배포하기 위해 펌웨어를 수정

원래 펌웨어를 덮서 쓰기 위해 사용된 정확한 감염 경로는 알려지지 않았음

하지만 유출된 메뉴얼에 따르면 악성 코드가 피해자의 컴퓨터에 물리적으로 접근하여 배포될 수 있음을 확인

최초 UEFI 악성코드는 2015년 유출되어 온라인에서 사용가능한 Hacking Team 의 VectorEDK Bootkit 의 맞춤형 버전

Github 의 VectorEDK 사이트 링크

2차 구성 요소를 가져오고 실행하기 위한 추가 다운로드로 구성

스파이활동과 데이터 수집을 목표로 하는 다단계 모듈식 프레임워크 MosaicRegressor 라는 이름의 두번째 페이로드를 설치하는데 사용

이 후 다운로더는 C&C Command & Control 서버에 연결

특정 명령을 실행하기 위해 다음 단계의 DLL 을 추가 다운로드

그 결과는 C&C 서버로 재전송

혹은 피드백 메일 주소로 전달

공격자는 축적된 데이터를 수집

페이로드는 멀웨어 바이너리에 하드 코딩된 사서함 전자 메일 메시지를 포함하여 다양한 방법으로 전송

그러나 경우에 따라 멀웨어는 북한과 관련없다는 것을 보여주기 위해 러시아어로 작성된 미끼 문서가 포함된 스피어 피싱 이메일을 통해 일부 피해자에게 전달

MosaicRegressor 배후에 있는 자의 신원과 관련하여 연구팀은 중국어와 한국어로 작성되었음을 나타내는 코드 레벨 힌트를 여러개 확보

로열로드 RTF 무기 화기 사용에 대해 언급된 것도 확인

로열로드 Royal Road 관련 이전 공격과 관련된 정보 링크

연구팀은 분석 중 널리 알려진 Winnti 일명 APT41 이라 알려진 중국 해커 그룹과 관련하여 관찰된 MosaicRegressor 의 변종 중 하나에서 C&C 주소 발견

Winnti 에 대한 공격 분석된 사이트 링크

연구팀은 펌웨어에 대한 공격에 대한 낮은 가시성이나 대상의 SPI 플래시 칩에 배포하는데 필요한 고급조치 등을 볼 때 UEFI 펌웨어를 통한 공격과 피해는 매우 드문 경우라고 결론

openLab