0xNews - 트로이 목마가 설치된 보안 소프트웨어가 서플라이 체인을 통해 한국 지역 공격

ESET 보안연구팀 발표

히든 코브라 Hidden Cobra 로 명명

북한 해커 그룹으로 추정되는 라자루스 그룹 Lazarus Group 에서 공격한 것으로 추정

적합한 보안 소프트웨어를 남용하게 하여 디지털 인증서를 탈취

대상 시스템에 원격 관리 도구 RAT Remote Administration Tools 배포

한국의 서플라이 체인 supply chain 공격 전파 차단

이번 공격의 특징은 범위가 금융권 사이트로 제한

모든 거래와 프로세스를 보호하기 위해 은행에서 개인과 기업에게 발급하는 디지털 인증서와 같은 인터넷 뱅킹 관련 설치 프로그램을 통합하고 관리하도록 설계된 프로그램인 WIZVERA VeraPort 를 악용

2011년 트로이 목마 공격, DDoS 공격 등 지난 10년 동안 한국의 금융기관 공격 사례 중 가장 최근 사례

합법적이지만 손상된 웹 사이트에서 악성 코드를 전달하기 위해 보안 소프트웨어 설치 기술을 사용하는 것 외 공격자는 불법적으로 획득한 코드 서명 인증서 code-signing certificates 를 사용

악성 코드 샘플에 서명

이 중 하나는 미국 지사에 발급

Dream Security USA 라는 한국 보안 회사

이번 캠페인을 발표한 연구팀은 VeraPort 를 사용하는 웹 사이트를 대상으로 하는 것으로 파악

또한 설치할 소프트웨어 목록과 관련 다운로드 URL 이 포함된 base64 로 인코딩된 XML 구성 파일이 함께 제공

공격자가 VeraPort 사용자에게 제공할 소프트웨어를 손상시켜 교체

WIZVERA VeraPort 구성에는 다운로드된 바이너리가 실행되기 전에 디지털 서명을 확인하는 옵션이 포함

대부분의 경우 이 옵션이 기본적으로 활성화

하지만 VeraPort 는 디지털 서명이 누구에게 속해 있는지 확인하지 않고 유효한지만 확인

이후 바이너리는 로더에 의해 윈도우 프로세스 svchost.exe 중 하나에 인젝션되는 두가지 구성 요소인 로더와 다운로더를 더 추출하는 맬웨어 드롭퍼 malware dropper 다운로드

다운로드가 가져온 최종 단계 페이로드는 맬웨어가 피해자의 파일 시스템에서 작업을 수행

공격자의 무기고에서 보조도구를 다운로드하여 실행할 수 있도록 하는 명령이 추가된 RAT 의 형태로 변형

이번 캠페인은 올해 2020년 4월 초 한국 KISA 가 TTP와 C2 Command-and-Control 인프라에서 상당한 교집합을 이루는 Operation BookCodes 라고 불리는 라자루스 공격의 추가 공격으로 파악

한국 KISA 보호나라의 발표 정보 링크

Operation BookCodes 의 쉘코드 등 공격 코드 공개 정보 링크

이번 캠페인 공격 코드 분석 결과 점차 공격 후 결과를 얻기 보다는 서플라이 체인 등의 공급망 자체에 대한 공격으로 관심과 목표를 변경

동시에 다수의 컴퓨터와 상대를 공격할 수 있는 공격 줄기 확보를 더 원할히 할 수 있기 때문

openLab