0xNews - 미국 NSA 에서 비밀리에 움직이는 해킹 도구의 세부 정보 발견
0xNews - 미국 NSA 에서 비밀리에 움직이는 해킹 도구의 세부 정보 발견
중국 팡구랩 발표
https://www.pangulab.cn/en/post/the_bvp47_a_top-tier_backdoor_of_us_nsa_equation_group/
중국 팡구랩은 2014년 애플 iPhone 탈옥하는 Pangu Team 의 연구 프로젝트에서 부타 시작
Tianfu Cup 해킹 대회에서 White Hat 해킹팀은 iOS 15 가 실행되는 iPhone 13 Pro 를 원격으로 탈옥할 수 있는 몇가지 보안 취약점을 발표와 시연 수행
미국 국가안보국 NSA National Security Agency 의 사이버 정보 수집 부서와 관련이 있다고 보이는 Equation Group 에서 사용하는 최상위 Top-tier 레벨의 백도어 확인과 이에 대한 세부 정보 공개
이 백도어는 BVP47 로 지칭
암호화 알고리즘에 사용된 문자열 BVP
숫자값 0x47 에 대한 수많은 참조로 인해 BVP47 로 지칭
2013년부터 각 주요 부서에 있는 리눅스 시스템에서 심층 포렌식 조사 중 발견
핵심적인 특징은
TCP SYN 패킷
코드 난독화
시스템 은닉과 자체 파괴 설계를 기반으로 한 고급 은닉 채널에서의 동작
확인 결과 중국, 한국, 일본, 독일, 스페인, 인도 등 총 45개국에 있는 학교, 경제, 군사, 과학 분야 등 287개 이상의 표적을 대상으로 공격 수행
10년이 넘는 기간 동안 해당 행위에 대한 적발, 발견 등이 되지 않았음
파악하기 어려운 이 백도어는 암호화 알고리즘을 사용하여 보호되는 원격 제어 기능도 탑제
이를 활성화 하려면 공격자는 개인 키를 이용
해당 기능은 2016년 새도우 브레이커스 Shadow Brokers 해커 그룹이 발표한 정보 누출에서 발견한 것이라고 발표
Kaspersky 에서는 Equation Group 에 대해 사이버 스파이의 왕관 창시자 crown creator of cyber espionage 라고 지칭
최소 2001년부터 활동을 시작한 것으로 파악
공개 전 제로데이 익스플로잇 Exploit 를 사용
피해자를 감염시키고 데이터를 검색하여 대상을 정확하게 식별하여 공격하도록 기획
이런 전문적인 활동으로 인해 외부 노출을 최소화
이후 이중의 일부는 스턱스넷 Stuxnet 에 통합
이 그룹은 NSA 의 TAO Tailored Access Operations 부서와 연결된 것으로도 알려짐
Longhorn 으로도 알려진 두번째 집단과 관련된 사이버 침입 활동은 미국 중앙 정보국 CIA Central Intelligence Agency 가 담당
Equation Group 의 맬웨어 도구 세트는 2016년 새도우 브레이커스라고 불리우는 그룹의 엘리트 해킹팀이 사용하는 전체 익스플로잇이 유출되면서 외부에 공개
팡구스랩에서 분석한 공격 시나리오
내부적으로 손상된 두개의 서버와 각각 A와 B 라는 이메일 및 엔터프라이즈 서버, 외부 도메인 D 으로 구성
시스템에서 민감한 데이터를 탈취하는 새로운 양방향 메커니즘을 사용
외부 도메인 D 와 서버 A 간 비정상적인 통신 발생
A 가 먼저 264 바이트 페이로드가 포함된 SYN 패킷을 A 서버의 80 포트로 전송
A 서버가 즉시 D 시스템의 하이엔드 포트에 외부 연결을 시작하고 많은 양의 데이터 교환을 유지하도록 설계
이와 동시에 A 는 SMB 서비스를 통해 B 에 연결
관리자 계정으로 로그인
터미널 서비스에 대한 접속 시도
디렉토리 검색과 예약된 작업을 통해 PowerShell 스크립트를 실행하는 등 다양한 작업 실행
A 와 B 는 계속 상호 연결되어 PowerShell 스크립트와 암호화된 2단계 페이로드 검색
암호화된 실행 결과는 다시 A 로 전송되어 외부로 전달
피해 대상의 서버에 설치된 BVP47 백도어는 실제 페이로드를 디코딩
메모리에 로드하는 역할을 하는 로더의 두 부분으로 구성
BVP47 은 일반적으로 인터넷과 통신하는 DMZ 영역의 리눅스 운영체제에 위치
주로 전체 공격에서 핵심 제어 연결과 통신 역할을 수행
연구팀의 이번 발표를 통해 지금까지 Equation Group 에서 개발됐지만 문서화되거나 알려지지 않은 맬웨어가 수개월만에 발견된 두번째 사례
2021년 12월말 Check Point 에서 악성코드 프레임워크와 함께 사용되는 세부 정보 공개
BVP47 을 비롯한 해당 조직과 이와 관련된 공격 툴을 분석해본 결과 Equation Group 는 현존하는 최고 해커 그룹
이 그룹에서 만든 도구는 잘 설계되고 강력하여 널리 적용 가능
제로 데이 취약점을 갖춘 네트워크 공격 기능은 막을 수 없고 은밀하게 제어된 데어터 수집은 적발되지 않았음을 상기
댓글
댓글 쓰기
글과 상관없는 댓글 작성은 발견 즉시 삭제합니다.