0xNews - ICMP 프로토콜을 이용하는 윈도우 맬웨어 발견

트러스트웨이브 발표

핑백 PingBack 으로 명명

윈도우 악성 코드로 은밀하게 통신하기 위해 ICMP 터널링을 활용

공격자가 ICMP 패킷을 활용하여 공격코드에 피기백 piggyback 가능

윈도우의 MSDTC Microsoft Distributed Transaction Coordinator 라는 정상적인 서비스를 통해 피기백으로 지목된 oci.dll 로드

정품 애플리케이션을 사용하여 악성 DLL 파일을 미리 로드하는 DLL 검색 순서 하이재킹이라는 방법 활용

연구팀은 MSDTC 에서 오라클 ODBC 인터페이스를 지원하는데 필요한 플러그인 중 하나로 악성 코드를 지원하는 것으로 지목

MSDTC 가 시작 시 자동으로 실행되도록 구성되어 있지는 않음

하지만 2020년 7월 VIrusTotal 샘플에 제출된 DLL 파일은 윈도우 시스템 디렉터리에 설치하고 지속성을 달성하기 위해 MSDTC 서비스를 시작

맬웨어 설치를 위한 별도의 실행 파일이 중요한 역할을 한 것으로 추정

악성코드가 성공적으로 실행되면 PingBack 은 기본 통신인 ICMP 프로토콜을 사용

ICMP 는 주로 다른 호스트에 연결할 수 없을 때 오류 메시지나 운영 정보를 전달하는데 사용되는 네트워크 계층 프로토콜

특히 PingBack 은 Echo 요청 ICMP 메시지 유형 8 을 활용

메시지 시퀸스 번호 1234, 1235, 1236 은 패킷에 포함된 정보 유형을 나타냄

1234 는 명령 혹은 데이터

1235, 1236 은 다른쪽에서 데이터 수신에 대한 승인

맬웨어가 지원하는 일부 명령에는 임의의 셀 명령을 실행하고 공격자의 호스트에서 파일을 다운로드나 업로드 수행

감염된 시스템에서 악의적인 명령을 실행하는 기능 포함

ICMP 터널링은 새로운 것은 아니지만 특정 샘플은 탐지를 회피하기 위해 이 기술이 사용된 실제 악성 코드 사례

ICMP 는 IP 연결에 대한 진단이나 성능 평가에 유용하게 사용되지만 공격자 입장에서는 대상의 네트워크 환경을 스캔, 맵핑하는데 악용할 수 있음

ICMP 비활성화는 최선이 아니지만 모니터링을 통한 은밀하게 움직이는 통신을 관리 감독해야 함

openLab