0xNews - 솔라윈드 SolarWinds 코드베이스 분석을 통한 백도어 인젝션 확인

0xNews - 솔라윈드 SolarWinds 코드베이스 분석을 통한 백도어 인젝션 확인

ReversingLabs 연구팀 발표

https://blog.reversinglabs.com/blog/sunburst-the-next-level-of-stealth

스파이 활동의 배우헤 있는 운영자사 소프트웨어 빌드를 손상 시켰을 가능성에 대한 일부 확인

2019년 10월 솔라윈드 SolarWinds Orion 플랫폼의 코드 서명 인프라 code signing infrastructure 정보를 통해

소프트웨어 릴리스 프로세스를 통해 악성 백도어를 제공

연구팀은 영향을 받은 라이브러리의 소스코드는 기존 소프트웨어 패치 릴리스 관리 시스템을 통해 컴파일, 서명과 전달된 악성 백도어 코드를 포함하도록 직접 수정된 것으로 분석

FireEye 는 2020년 3월과 6월 사이 발표

SolarWinds Orion 소프트웨어 업데이트에 백도어 코드 SolarWinds.Orion.Core.BusinessLayer.dll 혹은 SUNBURST 인젝션

감시 수행 후 대상에서 임의의 명령을 실행하는 방법에 대해 발표

FireEye 는 현재까지 해당 공격에 대한 행위자를 특정하지 않음

하지만 여러 언론 보도를 통해 러시아의 해외 정보 서비스와 관련된 해커 그룹인 APT29 혹은 Cozy Bear 가 공격 캠페인을 주도한 것으로 파악

https://www.washingtonpost.com/national-security/russian-government-spies-are-behind-a-broad-hacking-campaign-that-has-breached-us-agencies-and-a-top-cyber-firm/2020/12/13/d5a53b88-3d7d-11eb-9453-fc36ba051781_story.html

SolarWinds Orion 소프트웨어에 악성코드가 들어간 상태에서 배포된 버전은 2019.4.5200.9083 으로 추적

하지만 연구팀은 2019년 10월 출시된 이전 버전은인 2019.4.5200.8890 에도 실제 공격 페이로드를 전달하기 위한 디딤돌 역할을 하는 것으로 보이는 코드가 일부 포함된 것을 발견

일부 포함된 것은 빌드 시스템 손상

소프트웨어의 소스코드에 공격자의 코드를 조용히 인젝션 가능

회사가 컴파일하고 패키지에 서명할 때까지 대기 하다 정식 패치 등으로 신규 배포할 때 추가되는 것으로 분석

이렇게 배포된 소프트웨어는 공격자는 기존 함수 GetCreateUserID 를 모방

자체 구현을 추가하여 SUNBURST 맬웨어를 나머지 코드베이스와 결합

이후 은밀한 상태로 유지하도록 InventoryManager 라는 별도 클래스를 수정하여 호출하는 백도어를 실행하는 새 스레드 생성

인젝션된 코드와 문자열은 압축과 Base64 인코딩의 조합을 통해 감춰지도록 함

결과적으로 Yara 규칙으로 인해 코드에서 이상을 발견하는 것을 방해

소프트웨어 개발자 검토 과정 중에서도 탐지가 되지 않도록 함

연구팀은 이번 공격은 소프트웨어 개발자의 감사와 검사에서 코드를 숨기기 위한 다양한 조치를 한 것으로 파악

이번 문제는 공격자가 소프트웨어나 설치된 시스템에서 권한을 탈취하여 공격하는 것이 아니라 기존 소프트웨어 릴리스 관리 시스템 자체가 손상되도록 하는 공격임을 지적

공격자가 만든 코드는 새 소프트웨어를 빌드하기 위해 소스 코드 수준에서 수정

백도어 라이브러리가 포함된 업데이트는 서명된 후 최종적으로 고객에게 릴리스

현재까지 공격자가 어떻게 코드베이스에 접근했는지는 명확하게 밝혀지지 않음

연구팀은 SolarWinds 업데이트 서버 등의 저수준 암호화 설정으로 인한 외부 침투일 가능성 분석 중

연구팀원 중 한명은 트위터를 통해 회사 다운로드 웹 사이트의 FTP 자격 증명을 일반 텍스트로 유출하는

공개적으로 접속할 수 있는 Github 저장소를 회사에 전달

해커가 자격 증명을 사용하여 악성 실행 파일을 업로드하고 추가할 수 있다고 경고

https://twitter.com/vinodsparrow/status/1338431183588188160

SolarWinds 의 문제는 2019년 11월 22일 해결되기 전 Github 저장소는 2018년 6월 17일부터 공개됐음을 지적

SolarWinds 는 최대 1만 8천여명의 고객이 공급망 공격의 영향을 받았을 수 있음

Orion 플랫폼 사용자에게 환경을 보호하기 위해 가능한 빨리 소프트웨어를 2020.2.1 HF 2 버전으로 업데이트할 것을 권고

보안 연구원 중 한명은 트위터를 통해 많은 기업과 대학교와 같은 교육 기관을 포함하여 4천여개 이상 하위 도메인이 SUNBURST 백도어에 감염된 것으로 파악

https://twitter.com/0xrb/status/1339199268146442241

감염된 도메인 중 Intel, NVIDIA, Kent 주립대, 아이오와 주립대 등 포함

https://pastebin.com/6EDgCKxd

현재 큰 문제는 Orion 소프트웨어 업데이트에 추가된 악성 코드는 SoloarWInds 의 자체 지원 권고로 인해 대상 시스템의 바이러스 백신 소프트웨어와 기타 보안 도구에 의해 눈에 띄지 않을 수도 있음

바이러스 백신 검색과 GPO group policy object 제한으로 인해 파일 디렉토리가 면제되지 않으면 제품이 제대로 작동하지 않을 수 있음

최근 사이버 공격은 랜섬웨어를 통한 수익 창출이 목표

하지만 이런 개발 코드의 감염을 통한 접속 권한을 판매할 공격 시나리오 또한 충분히 도출 가능

결국 공격자는 큰 수익 발생을 위해 기업 내 자산을 목표로 다양한 공격과 감염, 접근 제한의 한계 돌파 등 다양한 방법과 시나리오가 구성되고 나타내질 것으로 예측