안다리엘, MS-SQL 서버를 이용한 악성코드 설치
국내 자산 관리 프로그램을 통해 설치된 악성코드는 ‘TigerRat’
안랩 ASEC 분석팀 “자산관리 프로그램의 모니터링 강화, 보안 취약점 발견시 패치 필수”
[보안뉴스 박은주 기자] 최근 북한의 해킹그룹 안다리엘(Andariel)이 특정 자산관리 프로그램을 이용한 공격을 통해 악성코드를 유포하고 있는 정황이 드러났다.
안랩 ASEC 분석팀은 안다리엘이 최근 ‘Log4Shell’ 및 ‘Innorix Agent’ 등 여러 프로그램에 대한 취약점을 이용해 국내 다양한 기업군을 공격하고 있다고 밝혔다. 공격 대상은 국내 통신업체, 반도체 제조업 등 기존 공격 대상과 유사했다.
최근 국내 특정 자산관리 프로그램에서 안다리엘 그룹의 악성코드를 설치한 로그가 확인됐다. 해당 로그만으로는 취약점을 이용한 공격인지 단순한 악용인지는 알 수 없다. 공격 대상 시스템에서 실행 중인 자산관리 프로그램은 최종적으로 파워쉘 명령을 이용해 악성코드를 다운로드했다.
이전 공격 사례에서 Innorix Agent뿐만 아니라 스피어 피싱 공격을 함께 사용했다. 이번 공격 사례에서 눈에 띄는 점은 ‘MS-SQL 서버’를 이용한 악성코드 설치 사례가 함께 존재한다는 점이다. 공격자는 부적절하게 관리되는 MS-SQL 서버를 공격해 NukeSped를 설치한 것으로 추정된다.
Remcos RAT, Mallox 랜섬웨어 등의 악성코드는 주로 무차별 대입 공격이나 사전 공격에 취약한 자격 증명 정보를 갖는 MS-SQL 서버를 대상으로 하는 공격을 통해 설치된다. 해당 시스템에서는 과거 다른 공격자가 악성코드를 설치하려 시도했던 로그를 확인할 수 있기 때문이다. 즉, 부적절하게 관리되는 MS-SQL 서버를 공격 벡터로 활용하고 있는 것으로 보인다. 공격 과정에서는 일반적인 MS-SQL 서버 대상 공격 사례와 유사하게 권한 상승을 목적으로 PrintSpoofer 악성코드가 함께 사용됐다.
이 공격으로 확인된 악성코드는 △TigerRat △ NukeSped 변종 △Black RAT △오픈 소스 악성코드인 Lilith RAT △NukeSped 변종 등 다양했다.
국내 자산 관리 프로그램을 통해 설치된 악성코드는 ‘TigerRat’이다. TigerRat은 백도어 악성코드로서 △파일 업로드 및 다운로드 △명령 실행 △기본 정보 수집 △키로깅 △스크린 캡쳐 △포트 포워딩 등 다양한 기능을 지원한다. 안다리엘은 과거 워터링 홀 공격부터 Log4Shell 취약점 공격 등 대부분의 국내 타켓 공격에서 TigerRat을 사용해 왔다.
일반적인 백도어 악성코드와 차이점은 C&C 서버와의 최초 통신 과정에서 특정 문자열을 주고받아야 하는 인증 과정이 존재하는 점이다. 이번 공격에 사용된 TigerRat 또한 올해 확인된 유형들과 같이 0x20 크기의 랜덤한 문자열이 인증에 사용됐다.
안다리엘 그룹은 2023년부터 다양한 백도어 악성코드를 ‘Go 언어’로 제작해 사용하고 있다. 이번 공격 사례에서도 Go 언어로 개발된 다운로더 악성코드가 사용됐다. 해당 악성코드는 단순한 형태로 C&C 서버에 접속해 추가 페이로드를 설치한다. 특징이 있다면 C&C 서버와의 통신에 Base64 암호화를 사용한다는 점이다.
공격자는 직접 TigerRat을 설치하기도 했지만, Golang 다운로더를 설치한 이후 해당 악성코드가 추가 페이로드를 설치하는 방식도 사용했다. Golang 다운로더를 통해 설치된 악성코드로는 TigerRat과 NukeSped 변종 악성코드가 있다.
NukeSped는 C&C 서버로부터 명령받아 감염 시스템을 제어할 수 있는 백도어 악성코드다. 공격에 사용된 NukeSped 변종 중 첫 번째 유형은 최초 C&C 서버와의 통신 시 POST 메소드를 이용해 패킷을 전송한다. 이후 C&C 서버로부터 받은 명령을 수행한 결과를 구글 접속을 위장한 GET 메소드를 이용해 전송하는 특징이 있다.
공격 과정에서 또 다른 NukeSped 변종도 확인됐다. 크기는 23KB(킬로바이트)지만 자가 삭제에 사용되는 문자열은 기존 NukeSped 변종과 유사하다.
Black RAT은 Go 언어로 개발된 백도어 악성코드로 2023년에 안다리엘 그룹의 공격 사례에서 최초 확인됐다. 이번 공격에 사용된 Black RAT은 소스코드 정보는 포함되지 않았다. 다만, 함수 이름이 기존 Black RAT과 거의 유사한 것을 통해 구분할 수 있었다.
Lilith RAT은 깃허브에 공개된 오픈 소스 RAT 악성코드다. C++ 언어로 개발됐으며 원격 명령 실행, 지속성 유지, 자가 삭제 등 감염 시스템을 제어할 수 있는 다양한 기능을 제공한다. 안다리엘이 공격에 사용한 Lilith RAT은 바이너리에 존재하는 문자열 중 상당수가 암호화되어 있는데, 파일 진단을 우회하기 위한 목적으로 추정된다. 그러나 모든 문자열이 암호화된 것은 아니며 일부 문자열들은 Lilith RAT의 소스코드와 같았다.
한편, 공격자는 백도어 악성코드를 이용해 감염 시스템을 제어하는 것 외에도 감염 시스템에 사용자 계정을 추가하고 이를 은폐했다. 이 작업에는 직접 제작한 악성코드를 이용했는데, 해당 악성코드는 감염 시스템에 특정 사용자 계정이 존재할 때만 정상적으로 동작한다. 그 때문에 이미 감염 시스템에 대한 제어 권한을 탈취했다는 의미다.
공격자가 백도어를 이용해 감염 시스템을 제어할 수 있음에도 사용자 계정을 추가하는 이유는 원격 데스크톱을 이용해 ‘GUI 환경에서 감염 시스템을 제어’하고 ‘지속성을 유지’하기 위한 목적이다. 그러나 단순하게 계정만 추가한다면 시스템의 사용자가 로그인하는 과정에서 새롭게 생성된 사용자 계정을 인지할 수 있다.
이 때문에 악성코드는 사용자가 인지할 수 없도록 다음과 같은 과정을 진행한다. 먼저 계정 이름에 ‘$’ 기호를 붙여 생성한다. 이후 기존 사용자의 SAM 데이터 중 일부를 복사해 생성한 ‘black$’ 계정에 덮어씌운다. 만약 기존 사용자가 관리자 계정이고 원격 데스크톱이 허용된 사용자라면 ‘black$’ 계정 또한 동일한 특성을 가질 수 있다.
안다리엘 그룹은 김수키(Kimsuky), 라자루스(Lazarus) 그룹과 함께 한국을 대상으로 활발하게 활동하고 있는 위협 그룹이다. 초기에는 안보와 관련된 정보를 주로 탈취했지만, 이후에는 금전적 이득을 목적으로 한 공격도 수행하고 있다.
초기 침투 시 주로 스피어 피싱 공격이나 워터링 홀 공격, 그리고 소프트웨어의 취약점을 이용하는 것으로 알려져 있다, 또한, 공격 과정에서 다른 취약점을 이용해 악성코드를 배포하는 정황도 확인되고 있다. 이에 사용자들은 출처가 불분명한 메일의 첨부 파일이나 웹 페이지에서 다운로드한 실행 파일은 각별히 주의를 기울여야 한다.
안랩 ASEC 분석팀은 “기업 보안 담당자는 자산관리 프로그램의 모니터링을 강화하고 프로그램 보안 취약점이 있다면 패치를 진행해야 한다”고 조언했다. 더불어 “OS 및 인터넷 브라우저 등의 프로그램들에 대한 패치를 최신 버전으로 업데이트해 악성코드 감염을 사전에 차단할 수 있도록 신경 써야 한다”고 말했다.
[박은주 기자(boan5@boannews.com)]
국내 자산 관리 프로그램을 통해 설치된 악성코드는 ‘TigerRat’
안랩 ASEC 분석팀 “자산관리 프로그램의 모니터링 강화, 보안 취약점 발견시 패치 필수”
[보안뉴스 박은주 기자] 최근 북한의 해킹그룹 안다리엘(Andariel)이 특정 자산관리 프로그램을 이용한 공격을 통해 악성코드를 유포하고 있는 정황이 드러났다.
[이미지=gettyimagesbank]
안랩 ASEC 분석팀은 안다리엘이 최근 ‘Log4Shell’ 및 ‘Innorix Agent’ 등 여러 프로그램에 대한 취약점을 이용해 국내 다양한 기업군을 공격하고 있다고 밝혔다. 공격 대상은 국내 통신업체, 반도체 제조업 등 기존 공격 대상과 유사했다.
최근 국내 특정 자산관리 프로그램에서 안다리엘 그룹의 악성코드를 설치한 로그가 확인됐다. 해당 로그만으로는 취약점을 이용한 공격인지 단순한 악용인지는 알 수 없다. 공격 대상 시스템에서 실행 중인 자산관리 프로그램은 최종적으로 파워쉘 명령을 이용해 악성코드를 다운로드했다.
이전 공격 사례에서 Innorix Agent뿐만 아니라 스피어 피싱 공격을 함께 사용했다. 이번 공격 사례에서 눈에 띄는 점은 ‘MS-SQL 서버’를 이용한 악성코드 설치 사례가 함께 존재한다는 점이다. 공격자는 부적절하게 관리되는 MS-SQL 서버를 공격해 NukeSped를 설치한 것으로 추정된다.
Remcos RAT, Mallox 랜섬웨어 등의 악성코드는 주로 무차별 대입 공격이나 사전 공격에 취약한 자격 증명 정보를 갖는 MS-SQL 서버를 대상으로 하는 공격을 통해 설치된다. 해당 시스템에서는 과거 다른 공격자가 악성코드를 설치하려 시도했던 로그를 확인할 수 있기 때문이다. 즉, 부적절하게 관리되는 MS-SQL 서버를 공격 벡터로 활용하고 있는 것으로 보인다. 공격 과정에서는 일반적인 MS-SQL 서버 대상 공격 사례와 유사하게 권한 상승을 목적으로 PrintSpoofer 악성코드가 함께 사용됐다.
이 공격으로 확인된 악성코드는 △TigerRat △ NukeSped 변종 △Black RAT △오픈 소스 악성코드인 Lilith RAT △NukeSped 변종 등 다양했다.
국내 자산 관리 프로그램을 통해 설치된 악성코드는 ‘TigerRat’이다. TigerRat은 백도어 악성코드로서 △파일 업로드 및 다운로드 △명령 실행 △기본 정보 수집 △키로깅 △스크린 캡쳐 △포트 포워딩 등 다양한 기능을 지원한다. 안다리엘은 과거 워터링 홀 공격부터 Log4Shell 취약점 공격 등 대부분의 국내 타켓 공격에서 TigerRat을 사용해 왔다.
▲C&C 서버와의 인증에 사용된 문자열[자료=안랩 ASEC 분석팀]
일반적인 백도어 악성코드와 차이점은 C&C 서버와의 최초 통신 과정에서 특정 문자열을 주고받아야 하는 인증 과정이 존재하는 점이다. 이번 공격에 사용된 TigerRat 또한 올해 확인된 유형들과 같이 0x20 크기의 랜덤한 문자열이 인증에 사용됐다.
안다리엘 그룹은 2023년부터 다양한 백도어 악성코드를 ‘Go 언어’로 제작해 사용하고 있다. 이번 공격 사례에서도 Go 언어로 개발된 다운로더 악성코드가 사용됐다. 해당 악성코드는 단순한 형태로 C&C 서버에 접속해 추가 페이로드를 설치한다. 특징이 있다면 C&C 서버와의 통신에 Base64 암호화를 사용한다는 점이다.
공격자는 직접 TigerRat을 설치하기도 했지만, Golang 다운로더를 설치한 이후 해당 악성코드가 추가 페이로드를 설치하는 방식도 사용했다. Golang 다운로더를 통해 설치된 악성코드로는 TigerRat과 NukeSped 변종 악성코드가 있다.
NukeSped는 C&C 서버로부터 명령받아 감염 시스템을 제어할 수 있는 백도어 악성코드다. 공격에 사용된 NukeSped 변종 중 첫 번째 유형은 최초 C&C 서버와의 통신 시 POST 메소드를 이용해 패킷을 전송한다. 이후 C&C 서버로부터 받은 명령을 수행한 결과를 구글 접속을 위장한 GET 메소드를 이용해 전송하는 특징이 있다.
▲NukeSped의 문자열[자료=안랩 ASEC 분석팀]
공격 과정에서 또 다른 NukeSped 변종도 확인됐다. 크기는 23KB(킬로바이트)지만 자가 삭제에 사용되는 문자열은 기존 NukeSped 변종과 유사하다.
Black RAT은 Go 언어로 개발된 백도어 악성코드로 2023년에 안다리엘 그룹의 공격 사례에서 최초 확인됐다. 이번 공격에 사용된 Black RAT은 소스코드 정보는 포함되지 않았다. 다만, 함수 이름이 기존 Black RAT과 거의 유사한 것을 통해 구분할 수 있었다.
Lilith RAT은 깃허브에 공개된 오픈 소스 RAT 악성코드다. C++ 언어로 개발됐으며 원격 명령 실행, 지속성 유지, 자가 삭제 등 감염 시스템을 제어할 수 있는 다양한 기능을 제공한다. 안다리엘이 공격에 사용한 Lilith RAT은 바이너리에 존재하는 문자열 중 상당수가 암호화되어 있는데, 파일 진단을 우회하기 위한 목적으로 추정된다. 그러나 모든 문자열이 암호화된 것은 아니며 일부 문자열들은 Lilith RAT의 소스코드와 같았다.
한편, 공격자는 백도어 악성코드를 이용해 감염 시스템을 제어하는 것 외에도 감염 시스템에 사용자 계정을 추가하고 이를 은폐했다. 이 작업에는 직접 제작한 악성코드를 이용했는데, 해당 악성코드는 감염 시스템에 특정 사용자 계정이 존재할 때만 정상적으로 동작한다. 그 때문에 이미 감염 시스템에 대한 제어 권한을 탈취했다는 의미다.
공격자가 백도어를 이용해 감염 시스템을 제어할 수 있음에도 사용자 계정을 추가하는 이유는 원격 데스크톱을 이용해 ‘GUI 환경에서 감염 시스템을 제어’하고 ‘지속성을 유지’하기 위한 목적이다. 그러나 단순하게 계정만 추가한다면 시스템의 사용자가 로그인하는 과정에서 새롭게 생성된 사용자 계정을 인지할 수 있다.
이 때문에 악성코드는 사용자가 인지할 수 없도록 다음과 같은 과정을 진행한다. 먼저 계정 이름에 ‘$’ 기호를 붙여 생성한다. 이후 기존 사용자의 SAM 데이터 중 일부를 복사해 생성한 ‘black$’ 계정에 덮어씌운다. 만약 기존 사용자가 관리자 계정이고 원격 데스크톱이 허용된 사용자라면 ‘black$’ 계정 또한 동일한 특성을 가질 수 있다.
안다리엘 그룹은 김수키(Kimsuky), 라자루스(Lazarus) 그룹과 함께 한국을 대상으로 활발하게 활동하고 있는 위협 그룹이다. 초기에는 안보와 관련된 정보를 주로 탈취했지만, 이후에는 금전적 이득을 목적으로 한 공격도 수행하고 있다.
초기 침투 시 주로 스피어 피싱 공격이나 워터링 홀 공격, 그리고 소프트웨어의 취약점을 이용하는 것으로 알려져 있다, 또한, 공격 과정에서 다른 취약점을 이용해 악성코드를 배포하는 정황도 확인되고 있다. 이에 사용자들은 출처가 불분명한 메일의 첨부 파일이나 웹 페이지에서 다운로드한 실행 파일은 각별히 주의를 기울여야 한다.
안랩 ASEC 분석팀은 “기업 보안 담당자는 자산관리 프로그램의 모니터링을 강화하고 프로그램 보안 취약점이 있다면 패치를 진행해야 한다”고 조언했다. 더불어 “OS 및 인터넷 브라우저 등의 프로그램들에 대한 패치를 최신 버전으로 업데이트해 악성코드 감염을 사전에 차단할 수 있도록 신경 써야 한다”고 말했다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2024-10-31] .jpg)
