0xNews - MS 윈도우 MSHTML 제로데이를 통한 코발트 스트라이크 공격 배포 분석 발표

MS 위협 인텔리전스 센터 발표

MS 윈도우 시스템에 코발트 스트라이크 비콘 Cobalt Strike Beacon 배포를 위해 특별히 만들어진 오피스 문서를 사용

현재 패치된 MSHTML 플랫폼의 제로데이 취약점을 활용한 표적 피싱 캠페인 정보 공개

CVE-2021-40444 로 지정

CVSS 8.8

표적을 공격하기 위한 맞춤형 코발트 스트라이크 비콘 로더를 배포한 초기 취약점 공격 핵심으로 사용

이 로더 Loader 는 MS 가 공격자가 운영하는 랜섬웨어를 비롯한 여러 사이버 공격 캠페인과 연관된 인프라와 통신

9월 7일 최초 공격 확인

이 취약점은 원격 코드 실행 RCE Remote Code Execution 이용하여 MS 오피스 사용자를 겨냥한 매우 정교한 제로데이 공격

현재는 단종된 MS 인터넷 익스플로러용 독점 브라우저 엔진인 MSHTML(Trident 라고도 함)을 통해 오피스에서 워드, 엑셀, 파워포인트 문서 내에서 웹 콘텐츠를 렌더링하는데 사용

확인된 공격 백터는 악의적인 오피스 문서를 사용

브라우저 렌더링 엔진에 의해 로드될 수 있는 악의적인 액티브엑스 ActiveX 컨트롤에 의존

MS 는 해당 공격 확인 후 9월 14일 취약점 패치와 수정 내용 발표

MS 는 임의로 지정한 코드네임 DEV-0413, DEV-0365 를 이번 공격의 핵심으로 지목

이중 DEV-0365 는 공격에 사용된 코발트 스트라이크 인프라 생성과 관리에 관련된 신규 위협 그룹과 밀첩한 관련이 있는 것으로 분석

8월 18일 DEV-0413 으로 지정된 코드네임에 의해 최초 악용 시도

익스플로잇 전달 메커니즘은 파일 공유 사이트에서 호스팅되는 계약 및 법적 계약을 가장하는 이메일에서 시작

맬웨어가 연결된 문서를 열면 INF 파일 확장자를 포함하는 DLL 이 포함된 캐비닛 아카이브 파일 다운로드

압축이 해제되면 해당 DLL 내에서 기능이 실행

DLL 은 차례로 사용자 지정 코발트 스트라이크 비콘 로더인 원격 호스팅 셀코드를 검색

MS 주소 임포트 툴에 address import tool 로드

또한 MS 는 DEV-0413 이 악성 아티팩트를 호스팅하는데 사용하는 인프라 중 일부가 코드네임 DEV-0193(Mandiant 혹은 UNC1878) 으로 모니터링하는 별도의 활동 세트인 BazaLoader 와 Trickbot 페이로드의 전달에도 관여했음을 확인

8월 공격 캠페인에서 DEV-0413 에 의해 성공적으로 공격에 성공한 조직 중 하나

이전에 CVE-2021-40444 공격이 있기 2개월 정도 전 DEV-0365 인프라와 상호 작용한 유사한 주제의 맬웨어에 의해 손상된 것을 확인

현재 이 조직의 리타케팅이 의도된 것인지는 확인할 수 없지만 DEV-0413과 DEV-0365 간 인프라 공유를 통해 상호간 강화와 협력이 되는 것은 분명하다고 판단

openLab