[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©(Cobalt Strike)¶ó´Â ¸ðÀÇ ÇØÅ· µµ±¸°¡ ÀÌÁ¦´Â »ç½Ç»ó °ø°Ý µµ±¸·Î¼ È°¿ëµÇ´Â »ç·Ê°¡ ³Ê¹«³ª ¸¹¾ÆÁö´Ù º¸´Ï ÀÌÁ¦´Â ±â¾÷µéÀÌ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¸¦ ŽÁöÇÏ¿© Â÷´ÜÇÏ´Â ¹æ¹ýµéÀ» ÀÍÈ÷°í ÀÖ´Ù. ±×¸®°í ²Ï³ª ¸¹Àº ¹æ¾îÀÚµéÀÌ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¸¦ Àß Ãij»±â ½ÃÀÛÇß´Ù. ±×·¯ÀÚ °ø°ÝÀÚµéÀº »õ·Î¿î ¹«±â¸¦ µé°í ³ªÅ¸³µ´Ù. ¹Ù·Î ½½¸®¹ö(Sliver)´Ù. ¿ÀǼҽº C&C ÇÁ·¹ÀÓ¿öÅ©·Î, °ø°ÝÀÚµéÀÌ ÃÖ±Ù À̸¦ °ø°Ý¿¡ Àû±Ø È°¿ëÇϱ⠽ÃÀÛÇß´Ù.
[À̹ÌÁö = utoimage]
ÆÀ»çÀ̹Ƿç(Team Cymru)ÀÇ ¼ö¼® ¿¬±¸¿øÀÎ Á¶½Ã ȩŲ½º(Josh Hopkins)´Â ¡°ÃÖ±Ù º¸¾È ºÐ¾ß¿¡¼ ½½¸®¹ö¿¡ ´ëÇÑ ¼Ò¹®ÀÌ È®»êµÇ°í ÀÖ´Ù¡±°í ¸»ÇÑ´Ù. ¡°ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©°¡ ³Ê¹« ¿À·£ ½Ã°£ Àü¼º±â¸¦ ´©·Á¿Ô¾î¿ä. ±×·¡¼ ÀÌÁ¦ ¹æ¾îÀÚµéÀÌ ¾îÁö°£ÇÏ¸é ´Ù ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¸¦ ÀâÀ» ¼ö ÀÖ°Ô µÆ½À´Ï´Ù. °ø°ÝÀÚµéÀÌ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©ÀÇ À¯È¿ ±â°£ÀÌ ´Ù µÇ¾ú´Ù°í ´À³¥ ¸¸µµ ÇÕ´Ï´Ù. ½½¸®¹ö°¡ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©ÀÇ ÈĹßÁÖÀÚ°¡ µÉ ¼öµµ ÀÖ¾î º¸ÀÔ´Ï´Ù.¡±
MSÀÇ º¸¾È ¿¬±¸¿øµéµµ Áö³ ÁÖ ±¹°¡ Áö¿ø ÇØÄ¿µé°ú ·£¼¶¿þ¾î °ø°ÝÀÚµé, »çÀ̹ö ¹üÁË ´ÜüµéÀÌ °ñ°í·ç ½½¸®¹ö¸¦ È°¿ëÇÏ°í ÀÖ´Ù°í °æ°íÇß´Ù. ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ÇÔ²² »ç¿ëµÇ°Å³ª, ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ© ´ë½Å »ç¿ëµÈ´Ù°í MS´Â ¼³¸íÇß´Ù. ±× Áß ¾Ç¸í ³ôÀº »çÀ̹ö ¹üÁË ´ÜüÀÎ ÇÉ12(FIN12)µµ ÀÖ¾ú´Ù. ÇÉ12´Â MS¿¡¼ µ¥ºê0237(DEV-0237)À̶ó°í ºÎ¸£´Â Á¶Á÷À¸·Î ·ùÅ©(Ryuk), ÄÜƼ(Conti), ÇÏÀ̺ê(Hive) µî°úµµ °ü·ÃÀÌ ÀÖ´Ù.
»ç¿ëÀÚ, ºü¸£°Ô ´Ã¾î³ª
ÆÀ»çÀ̹Ƿç ÃøÀÌ ½½¸®¹ö¿¡ ´ëÇØ °æ°íÇÏ°í ³ª¼± °Ç ÀÌ¹Ì ¿ÃÇØ ÃÊÀÇ ÀÏÀÌ´Ù. ´ç½Ã ÀϺΠ°ø°ÝÀÚµéÀÇ Ä·ÆäÀο¡¼ ¹ß°ßµÆ´Âµ¥, »ê¾÷ ºÐ¾ß¸¦ Ưº°È÷ °¡¸®´Â °ÍÀ¸·Î º¸ÀÌÁö´Â ¾Ê¾Ò´Ù. ±× Áß 2¿ù 3ÀϺÎÅÍ 3¿ù 4ÀϱîÁö ÁøÇàµÈ Ä·ÆäÀÎÀÇ °æ¿ì, ·¯½Ã¾Æ¿¡ È£½ºÆà µÈ °ø°Ý ÀÎÇÁ¶ó°¡ È°¿ëµÆ¾ú°í, ºñ½ÁÇÑ ½Ã±âÀÇ ¶Ç ´Ù¸¥ Ä·ÆäÀο¡¼´Â ÆÄÅ°½ºÅº°ú Æ¢¸£Å°¿¹ÀÇ Á¤ºÎ ±â°üµéÀÌ Ç¥ÀûÀÎ °ÍÀ¸·Î ºÐ¼®µÆ´Ù. ½½¸®¹ö´Â ¿¬¼âÀûÀ¸·Î ÀÌ·ïÁö´Â °ø°Ý ÇàÀ§µé Áß ÃÖÃÊ Ä§Åõ¿¡ ÁÖ·Î È°¿ëµÇ´Â ¸ð½ÀÀ» º¸¿´¾ú´Ù.
½½¸®¹ö´Â º¸¾È ¾÷ü ºñ¼óÆø½º(Bishop Fox)°¡ 2019³â °³¹ßÇÏ¿© ¹èÆ÷ÇÑ ÇÁ·¹ÀÓ¿öÅ©´Ù. °³¹ß ¸ñÀû ÀÚüµµ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¸¦ ´ëüÇÏ´Â °ÍÀ̾ú´Ù. Áï ·¹µåÆÀ°ú ¸ðÀÇ ÇØÅ· Àü¹®°¡µéÀÌ »ç¿ëÇÒ ¸¸ÇÑ µµ±¸¸¦ ¸¸µç °ÍÀ¸·Î(ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©µµ ±×·± ¸ñÀûÀ¸·Î ¸¸µé¾îÁø µµ±¸), ½ÇÁ¦ ÇØÄ¿µéÀÇ ¾Ç¼º ÇàÀ§¿Í °ø°Ý ÆÐÅϵéÀ» Èä³» ³½´Ù. ÇÏÁö¸¸ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ¸¶Âù°¡Áö·Î ¡®¸ðÀÇ¡¯ °ø°Ý µµ±¸°¡ Á¡Á¡ ¡®½ÇÁ¦¡¯ °ø°Ý µµ±¸°¡ µÇ¾î°¡°í ÀÖ´Ù.
°ø°ÝÀÚµé ÀÔÀå¿¡¼´Â ¸Å·ÂÀÌ ³ÑÃijª
½½¸®¹ö´Â °í(Go) ¾ð¾î·Î ¸¸µé¾îÁ³´Ù. ±×·¡¼ ´Ù¾çÇÑ OS ȯ°æ¿¡ À¯¿¬ÇÏ°Ô Àû¿ëÇÒ ¼ö ÀÖ´Ù. À̸¥ ¹Ù Å©·Î½º Ç÷§Æû °ø°ÝÀÌ °¡´ÉÇÑ °ÍÀÌ´Ù. ¸ðÀÇ ÇØÅ· ÈÆ·ÃÀ» ½Ç½ÃÇÏ´Â º¸¾È Àü¹®°¡µéÀº ½½¸®¹ö¸¦ °¡Áö°í ¼ÐÄÚµå, ½ÇÇàÆÄÀÏ, °øÀ¯ ¶óÀ̺귯¸®(DLL) µî ´Ù¾çÇÑ ÇüÅÂÀÇ ÀÓÇöõÆ®¸¦ »ý¼ºÇÒ ¼ö ÀÖ°Ô µÈ´Ù. ÀÌ·¯ÇÑ ÀåÁ¡Àº °ø°ÝÀڵ鿡°Ôµµ ¶È°°ÀÌ Àû¿ëµÈ´Ù. °Ô´Ù°¡ °í ¾ð¾î·Î ¸¸µé¾îÁø °ø°Ý µµ±¸¿¡ ´ëÇÑ ¹æ¾î ¼Ö·ç¼ÇÀÌ º»°ÝÀûÀ¸·Î ³ª¿À°í ÀÖÁö ¾Ê°í ÀÖ´Ù´Â °Íµµ °ø°ÝÀڵ鿡°Ô´Â È£Àç·Î ÀÛ¿ëÇÑ´Ù.
¶ÇÇÑ ½½¸®¹ö´Â º¸´Ù ÀÛÀº ÆäÀ̷εåµéÀÎ ½ºÅ×ÀÌÀú(stager)µé°úÀÇ È£È¯¼ºµµ ÁÁ´Ù. ¡°½ºÅ×ÀÌÀú´Â ¿©·¯ C&C ÇÁ·¹ÀÓ¿öÅ©¿¡¼ »ç¿ëµÇ´Â ±â´ÉÀ̶ó°í º¼ ¼ö ÀÖ½À´Ï´Ù. ÁÖ·Î ÃÖÃÊ ÆäÀ̷εå(ÇÇ½Ì À̸ÞÀÏ µî)¿¡ Æ÷ÇԵǴ ¾Ç¼º Äڵ带 ÃÖ¼ÒÈ ÇÏ´Â µ¥ »ç¿ëµË´Ï´Ù. ÀÌ·± ½ºÅ×ÀÌÀú ¶§¹®¿¡ ÆÄÀÏ ±â¹Ý ŽÁö ±â¼úÀÌ ±â´ÉÀ» Á¦´ë·Î ¹ßÈÖÇϱⰡ Èûµì´Ï´Ù.¡±
»Ó¸¸ ¾Æ´Ï¶ó ½½¸®¹ö´Â ¸¹Àº ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©º¸´Ù ´õ ¸¹Àº ºôÆ®ÀÎ ¸ðµâÀ» °¡Áö°í Àֱ⵵ ÇÏ´Ù. ·¹¾î½º ÄÁ¼³ÆÃ(Lares Consulting)ÀÇ ¿£Áö´Ï¾îÀÎ ¾Øµð ±æ½º(Andy Gills)¿¡ ÀÇÇÏ¸é ¡°ÀÌ ºôÆ®ÀÎ ±â´Éµé ´öºÐ¿¡ °ø°ÝÀÚµéÀº ½Ã½ºÅÛÀ» º¸´Ù ´õ ½±°Ô ÀͽºÇ÷ÎÀÕ ÇÏ°í, Á¤º¸µé¿¡ ´õ ½±°Ô Á¢±ÙÇÒ ¼ö ÀÖ°Ô µÈ´Ù¡±°í ÇÑ´Ù. ¡°ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¸¦ »ç¿ëÇÏ·Á¸é °ø°ÝÀÚ ÀÚ½ÅÀÌ Á÷Á¢ ÀÌ·± ±â´ÉµéÀ» ¾îµð¼±°¡ °ø¼öÇØ ¿Í¾ß ÇÕ´Ï´Ù. Áï ½½¸®¹ö°¡ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ²Ï³ª ºñ½ÁÇϸ鼵µ »ç¿ë»óÀÇ ³À̵µ´Â Å©°Ô ³·¾ÆÁ³´Ù´Â °Ì´Ï´Ù.¡±
ȩŲ½º´Â ¾ÆÁ÷ ½½¸®¹ö°¡ º¸¾È ¾÷°è¿¡ ³Î¸® ÆÛÁöÁö ¾Ê¾Ò°í, ±×·¡¼ ¹æ¾î ±â¼úÀÌ ¾ø´Ù´Â °ÍÀÌ °ø°ÝÀڵ鿡°Ô °¡Àå ¸Å·ÂÀûÀÏ °ÍÀ̶ó°í ¸»ÇÑ´Ù. ¡°½½¸®¹ö´Â ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©ÀÇ º¹»çº»À̶ó°í Çصµ ¹Ï¾îÁú Á¤µµ·Î ºñ½ÁÇÑ ±â´ÉÀ» °¡Áø µµ±¸ÀÔ´Ï´Ù. ±×·±µ¥ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿¡ ºñÇØ º¸¾È ´ã´çÀÚµéÀÇ °ü½ÉÀ» ²ø°í ÀÖÁø ¾Ê½À´Ï´Ù. Àû¾îµµ ¾ÆÁ÷±îÁö´Â ¸»ÀÌÁÒ. ÀÌ ¶§¹®¿¡ ŽÁö°¡ Àß µÇÁö ¾Ê°í, °ø°ÝÀÌ ½¬¿öÁý´Ï´Ù. ÀÌ·± µµ±¸°¡ Áö±Ý ±êÇãºê¿¡¼ ¹«·á·Î Ç®¸®°í ÀÖÁÒ.¡±
¿©ÀüÇÑ ´ë¼¼, ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©
¿ÃÇØ 1»çºÐ±â µ¿¾È ÆÀ»çÀ̹Ƿç´Â 143°³ÀÇ ½½¸®¹ö »ùÇõéÀ» ¹ß°ßÇÑ ¹Ù ÀÖ´Ù. °ø°Ý Ä·ÆäÀÎÀÇ 1´Ü°è¿¡ È°¿ëµÈ °ÍÀ¸·Î º¸ÀÌ´Â »ùÇõéÀÌ´Ù. °°Àº ±â°£ µ¿¾È ¹ß°ßµÈ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ© »ùÇÃÀº 4455°³´Ù. ¹°·Ð ÀÌ Áß¿¡´Â ¸ðÀÇ ÇØÅ·À» À§ÇØ È°¿ëµÈ °æ¿ìµµ ÀÖ°ÚÁö¸¸, ±×°É °¨¾ÈÇÏ´õ¶óµµ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ½½¸®¹öÀÇ »ç¿ë·®¿¡´Â Å« Â÷ÀÌ°¡ ÀÖÀ½À» ¾Ë ¼ö ÀÖ´Ù. ¡°½½¸®¹ö°¡ ¶°¿À¸£°í ÀÖ±ä ÇÏÁö¸¸ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿¡ ÁÖ¸ñÇØ¾ß ÇÑ´Ù´Â »ç½Ç¿¡´Â º¯ÇÔÀÌ ¾ø½À´Ï´Ù. ÇöÀç ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©´Â C&C ³×Æ®¿öÅ© ±¸¼º¿¡ ÀÖ¾î Ȳ±Ý Ç¥ÁØ ±× ÀÚü´Ï±î¿ä.¡±
º¸¾È ¾÷ü ÀÎÅÚ471(Intel 471)ÀÇ º¸¾È ¿¬±¸¿øµéÀº ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ½½¸®¹ö°¡ »óÈ£º¸¿ÏÀûÀ¸·Î »ç¿ëµÇ´Â ÁßÀ̶ó´Â ÀÔÀåÀÌ´Ù. ¾ÆÁ÷ ¿ÏÀüÇÑ ´ëü°¡ ÀÌ·ïÁöÁö´Â ¾Ê¾Ò´Ù°í ÇÑ´Ù. ¡°¿ÃÇØ °ø°ÝÀÚµéÀº ¸¹Àº °æ¿ì ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ¸ÞŸ½ºÇ÷ÎÀÕ, ¾ÆÀ̽ºµå¾ÆÀ̵ð(IcedID)¿Í °°Àº ¸Ö¿þ¾îµéÀ» È¥ÇÕÇؼ »ç¿ëÇÏ´Â ¸ð½ÀÀ» ¸¹ÀÌ º¸¿©ÁÖ¾ú½À´Ï´Ù. ¶ÇÇÑ »õ·Î¿î ·Î´õÀÎ ¹üºíºñ(Bumblebee) ¿ª½Ã ÇÔ²² »ç¿ëµÇ°ï ÇÏÁÒ.¡± ÀÎÅÚ471ÀÇ ¼ö¼® øº¸ Ã¥ÀÓÀÚÀÎ ¸¶ÀÌŬ µåº¼Æ®(Michael DeBolt)ÀÇ ¼³¸íÀÌ´Ù.
¡°½½¸®¹ö¿¡´Â ¸¹Àº ±â´ÉµéÀÌ Å¾ÀçµÇ¾î ÀÖ½À´Ï´Ù. °¡Àå À¯¿ëÇÑ °Ç ƯÁ¤ ½Ã°£ µ¿¾È ¾Ç¼º ±â´ÉÀÌ ¹ßµ¿µÇÁö ¾Êµµ·Ï ÇÏ´Â °ÍÀ̶ó°í º¸À̴µ¥¿ä, ÀÌ ´öºÐ¿¡ °ø°ÝÀÚµéÀº »÷µå¹Ú½º µî ÀǵµÄ¡ ¾ÊÀº ȯ°æ¿¡¼ ¾Ç¼º ÆäÀ̷ε尡 ½ÇÇàµÇ´Â °É ¸·À» ¼ö ÀÖ½À´Ï´Ù. ÀÌ·± ±â´ÉÀÌ À¯¿ëÇϱ⠶§¹®¿¡ ±âÁ¸ ´Ù¸¥ °ø°Ý µµ±¸µé°ú °áÇÕÇؼ »ç¿ëµÇ±âµµ ÇÏÁÒ. ÇÑ µ¿¾ÈÀº ÀÌ·± ¡®ÇÏÀ̺긮µå ¹æ½Ä¡¯À¸·Î ´õ ¸¹ÀÌ È°¿ëµÇÁö ¾ÊÀ»±î ÇÕ´Ï´Ù. µ¶ÀÚÀûÀ¸·Î »ç¿ëµÇ·Á¸é Á¶±Ý ´õ °ËÁõ ±â°£ÀÌ ÇÊ¿äÇÒ °ÍÀ̶ó°í º¾´Ï´Ù.¡±
±× ¿Ü¿¡µµ ±æ½º´Â Æ÷½ÃÅõ(Posh2)¶ó´Â C&C ÇÁ·¹ÀÓ¿öÅ©µµ ¿¹ÀÇÁÖ½ÃÇØ¾ß ÇÒ ¹°°ÇÀ̶ó°í ÁöÀûÇÑ´Ù. ¡°Æ÷½ÃÅõµµ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ© ´ë½Å »ç¿ëµÉ ¼ö ÀÖ´Â C&C ÇÁ·¹ÀÓ¿öÅ©ÀÔ´Ï´Ù. ±× ¿Ü¿¡ ¹Ì½Ä(Mythic)À̶ó´Â ÇÁ·¹ÀÓ¿öÅ©µµ ÀÌ·± ½ÄÀ¸·Î È°¿ëµÇ±â ½ÃÀÛÇßÁÒ. ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©°¡ ½½½½ Àü¼º±â¸¦ ³¡³»°í, ´Ù¸¥ °Í¿¡ ¿ÕÁ¸¦ ³»ÁÖ·Á´Â ºÐÀ§±âÀÔ´Ï´Ù. ±× È帵éÀÌ ½½½½ µÎ°¢À» ³ªÅ¸³»°í ÀÖ½À´Ï´Ù.¡±
3ÁÙ ¿ä¾à
1. ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©, C&C ÇÁ·¹ÀÓ¿öÅ©·Î¼´Â ÇöÀç ¡®È²±Ý Ç¥ÁØ.¡¯
2. ÇÏÁö¸¸ ³Ê¹« Àß ¾Ë·ÁÁ® ÀÖ¾î ÀÌÁ¦´Â ¹æ¾î È®·üµµ ³ô¾ÆÁö±â ½ÃÀÛÇÔ.
3. ±×·¡¼ »õ·Î¿î ÇÁ·¹ÀÓ¿öÅ©µéÀÌ ³¸³Çϱ⠽ÃÀÛÇϴµ¥, ±× Áß ½½¸®¹ö°¡ ´«¿¡ ¶ê.
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>