0xNews - 리눅스와 도커 인스턴스를 대상으로 하는 웜 DarkRadiation 랜섬웨어 활동 경고

0xNews - 리눅스와 도커 인스턴스를 대상으로 하는 웜 DarkRadiation 랜섬웨어 활동 경고


트렌드마이크로 발표

https://www.trendmicro.com/en_us/research/21/f/bash-ransomware-darkradiation-targets-red-hat--and-debian-based-linux-distributions.html


리눅스와 도커 Docker 클라우드 컨테이너를 대상으로 한 Bash DarkRadiation 이라는 새로운 랜섬웨어 정보 공개

C2 Command-and-Control 통신을 위해 텔레그램 Telegram 사용 확인


이번에 발견된 랜섬웨어는 Bash 쉘 스크립트 기반으로 작성

RedHat / CentOS / Debian 등 리눅스 배포판을 대상으로 함

이 랜섬웨어는 CBC 모드와 함께 OpenSSL 의 AES 알고리즘을 사용

다양한 디렉토리의 파일을 암호화

텔레그램의 API 를 사용하여 공격자에게 감염 상태를 전송


현재까지 랜섬웨어의 전파 방법이나 피해 사례는 확인되지 않고 있음


이번 발견은 api_attack 라는 디렉토리에 있는 미확인 위협 행위자의 인프라 IP 주소 185.141.25.168 에서 호스팅되는 해킹 도구 세트를 분석하여 얻은 결과

이 해킹 도구 세트는 트위터 사용자에 의해 처음 발견



virustotal 의 해당 랜섬웨어 등록 사이트 링크

https://www.virustotal.com/gui/file/45422231132d5c235a92a332a753b8226d9aa2e80b1cca3387cc14806276da47/behavior/OS%20X%20Sandbox


DarkRadiation 의 감염 체인 infection chain 은 다단계 공격 프로세스를 포함

Bash 스크립트에 대한 광범위한 의존으로 악성 코드를 검색하고 파일을 암호화하고 텔레그램 API 를 사용

하드코딩된 API 키를 통해 C2 서버와 통신


현재 개발 중인 랜섬웨어는 난독화 기법을 활용

node-bash-obfuscate 라는 오픈소스 도구를 사용

Bash 스크립트를 스크램블하여 코드를 여러번 분할

이후 각 세그먼트와 변수 참조가 있는 원본 스크립트에 할당하고 대체


Github 의 해당 오픈소스 링크

https://github.com/willshiao/node-bash-obfuscate


실행 시 DarkRadiation 은 루트 사용자로 실행되는지 확인

그렇다면 상승된 권한을 사용하여 wget, curl, openssl 라이브러리를 다운로드하고 설치

현재 유닉스 컴퓨터 시스템에 로그인한 사용자에 대해 주기적인 스냅샷 생성

5초마다 who 명령을 사용하여 결과를 텔레그램 API 를 사용하여 공격자가 제어하는 서버로 전송


감염된 기기에서 이들 중 하나라도 사용할 수 없는 경우

악성코드는 RedHat / CentOS 와 같은 리눅스 배포판에서 널리 사용된 파이썬 Python 기반 패키지 관리자인 yum Yellowdog Updater, Modified 을 사용

필요한 도구를 다운로드하려고 시도


이번 랜섬웨어 분석을 함께한 SentinelOne 분석 사이트 링크

https://www.sentinelone.com/blog/darkradiation-abusing-bash-for-linux-and-docker-container-ransomware/


감염 공격 마지막으로 랜섬웨어는 손상된 시스템에서 사용 가능한 모든 사용자 목록을 검색하고 기존 사용자 암호를 megapassword 로 덮어쓰고 모든 쉘 사용자를 삭제

하지만 사용자 이름 ferrum 을 사용하여 신규 사용자를 만들기 전까지 삭제하지 않음

또한 암호를 MegPw0rD3 입력하여 암호화 프로세스 진행


SentinelOne 은 사용자 ferrum 의 암호가 공격자의 C2 서버에서 몇 가지 버전으로 다운로드되는 반면 다른 버전에서는  '$ MeGaPass123 #' 과 같은 문자열로 하드 코딩되어 맬웨어 배포와 공격이 진행되고 있음을 확인

다양한 버전으로 공격하는 것으로 파악


트렌드마이크로 분석팀은 이번 랜섬웨어의 특이한 점은 암호화된 파일의 파일 확장자를 방사능 기호 ('.☢') 를 추가한다는 점을 확인


공격과 관련된 두번째 이동 부분은 SSH 프로토콜을 사용

대상 시스템에 연결하고 결국 랜섬웨어를 다운로드하고 실행하는데 사용되는 base64 인코딩 매개 변수의 형태

자격 증명 구성을 수신하도록 설계된 SSH 웜


실행 상태를 암호화 키와 함께 API 를 통해 공격자의 텔레그램 채널로 다시 보고하는 것 외 DarkRadiation 은 감염된 컴퓨터에서 실행 중인 모든 도커 컨테이너를 중지하거나 비활성화하는 기능 보유


쉘 스크립트 언어로 작성된 맬웨어를 사용하면 공격자가 다목적일 수 있고 일반적인 탐지 방법에 대해 회피 가능


스크립트를 재컴파일할 필요가 없기 때문에 더 빠르게 반복 유포 가능

또한 일부 보안 소프트웨어는 정적 파일 서명에 의존하기 때문에 빠른 반복과 간단한 난독화 도구를 사용하여 완전히 다른 스크립트를 생성하여 손쉽게 회피할 수 있음


댓글

댓글 쓰기

글과 상관없는 댓글 작성은 발견 즉시 삭제합니다.

이 블로그의 인기 게시물

0xNews - 안드로이드 폰 890만대 이상 사전 감염 확인

이미지
0xNews - 안드로이드 폰 890만대 이상 사전 감염 확인 Trendmicro 발표 https://www.trendmicro.com/en_us/research/23/e/lemon-group-cybercriminal-businesses-built-on-preinfected-devices.html BlackHat ASIA 2023 발표 https://www.blackhat.com/asia-23/briefings/schedule/index.html#behind-the-scenes-how-criminal-enterprises-pre-infect-millions-of-mobile-devices-31235 Lemon Group로 알려진 사이버 공격 그룹이 전 세계를 대상으로 수백만대 안드로이드폰에 대한 사전 감염 정보 확인 이를 통해 악의적인 활동을 수행하여 심각한 공급망 위험을 초래할 수 있음 이번 감염 확인은 모바일 프록시, SMS메시지, 소셜미디어, 온라인 메시징 계정을 탈취 광고나 클릭 사기 등의 활동을 통한 수익 창출 도구로 사용자 몰래 바뀔 수 있음 현재까지 미국, 멕시코, 인도네시아, 태국, 러시아, 필리핀, 아르헨티나 등에서 확인 안드로이드 폰 최대 890만대가 감염됐으며 주로 보급형 스마트폰인 것으로 확인 점차 진화하고 발전하는 문제 중 하나로 공격자는 스마트TV, 안드로이드TV박스, 엔터테인먼트 시스템, 키즈용 시계와 같은 안드로이드 기반 IoT 장치로 영역을 확장 중 최대 180개 이상 국가로 공격이 전파됐으며 50개 이상 모바일 장치 브랜드가 Guerilla 라는 맬웨어 변종에 의해 손상 공격 그룹은 최대 지난 5년 동안 이 악성코드를 유포했을 것이라 판단 감염된 장치가 중요한 핵심 인프라까지 손상된다면 정상적인 사용자에게 피해를 입힐 수 있으며 장기적으로는 공격 그룹인 Lemon Group에게 상당한 이익이 될 수 있음 2018년 Sophos 에서 클릭 사기에 가담하고 백도어 역할을 하는 기능이 포함된 안드로이드 앱 15개가 구글 플레이 스토어
자세한 내용 보기

0xNews - 미군을 주제로 하여 한국인을 노리는 피싱 공격 캠페인 경고

이미지
0xNews - 미군을 주제로 하여 한국인을 노리는 피싱 공격 캠페인 경고 Securonix 발표 https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/ 미군을 주제로한 문서를 미끼로 이용하여 한국어를 사용하는 개인을 대상으로 손상된 시스템에서 맬웨어를 실행하도록 하는 공격 확인 STARK#MULE 고 명명하여 공격 추적 중 현재까지 공격의 규모나 공격 결과에 대한 정보는 알려지지 않고 있음 소스와 가능성 있는 대상을 기준으로 판단해볼 때 이러한 유형의 공격은 역사적으로 한국이 이 그룹, 정부 관리의 주요 대상이었기 때문에 APT37 과 같은 전형적인 북한 사이버 공격 그룹에서 비롯된 과거 행적과 유사함 APT37 은 북한에서 지원하는 대표적인 사이버 공격 그룹 중 하나로 북한에 대해 보도하거나 탈북자를 지원하는데 관련된 조직을 대상으로 초점을 맞추는 것으로 알려져 있음 이 그룹이 탑재한 공격 체인은 역사적으로 사회공학적 해킹에 의존 피해자 피싱 후 RokRat 와 같은 페이로드를 대상 네트워크에 전달 적대적 집단은 최근 몇달 동안 AblyGo 라는 Go 기반 백도어를 포함하여 다양한 맬웨어 제품군으로 공격 무기를 확장 이번 캠페인의 주목할만한 특징은 시스템에 설치된 보안 솔루션의 레이더 아래로 이동하기 위해 페이로드나 C2 Command-and-Control 서버를 준비하기 위해 한국 전자상거래 웹 사이트를 점거 후 사용 시발점 역할을 하는 피싱 이메일은 미 육군 모집 메시지를 사용 수진자가 PDF문서로 가장한 바로가기 파일이 포함된 ZIP 아카이브 파일을 열도록 유도 바로가기 파일이 실행되면 미끼PDF 를 표시하지만 아카이브 파일에 있는 악성 Thumbs.db 파일의 실행을 은밀하게 활성화 이 파일은 추가 스테이지를 다운로드하고 schtasks.exe 를 활용 지속성 확보 후 여러 기능을
자세한 내용 보기

0xNews - 리눅스 커널에서 StackRot 라는 이름의 취약점으로 권한 상승 취약점 발견

이미지
0xNews - 리눅스 커널에서 StackRot 라는 이름의 취약점으로 권한 상승 취약점 발견 Openwall 통해 정보 공개  https://www.openwall.com/lists/oss-security/2023/07/05/1 StackRot 로 명명 CVE-2023-3269 지정 CVSS 7.8 리눅스 Linux 커널 버전 6.1에서 6.4 대상에게 영향을 미침 현재까지 악용된 증거는 발견되지 않음 StackRot는 메모리 관리 하위 시스템에서 발견된 리눅스 커널 취약점 거의 모든 커널 구성에 영향을 미치며 트리거 하는데 최소한의 기능이 필요 그러나 RCU Read-Copy Update 콜백을 사용하여 메이플 노드가 해제되어 RCU 유예 기간 이후까지 실제 메모리 할당 해제가 지연된다는 점에서 유의 결과적으로 이 취약점을 악용하는 것은 난이도가 매우 높음 23년 6월 15일 리누스 토발즈 Linus Torvalds 해당 문제 인지와 정보 공개 kernel.org 에서 해당 문제 정보 공개 https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=9471f1f2f50282b9e8f59198ec6bb738b4ccc009 23년 7월 1일 리눅스 커널 6.1.37, 6.3.11, 6.4.1 등으로 안정화 업데이트를 통해 문제 해결 StackRot 해결 업데이트 정보 공개 https://github.com/lrh2000/StackRot PoC 익스플로잇과 버그에 대한 기술 세부 사항에 대한 내용은 정리 후 공개 예정 이번 취약점은 본질적으로 메이플 트리라는 데이터 구조에 근본적인 문제를 가지고 있음 메이플 트리는 Red-Black rbtree 를 대체하여 가상 메모리 영역 VMA 를 관리하고 저장하기 위해 리눅스 커널 6.1에 도입 디스크에 있는 파일의 내용이나 실행 중에 있는 프로그램이 사용하는 메모리 특히 메이플 트리가 MM 쓰기 잠금을 제대로 획득하지 않고 노드 교체를 겪을
자세한 내용 보기