2024년 하반기부터 정교한 사이버 공격이 조직, 특히 러시아 IT 부문을 표적으로 삼고 있습니다. 공격자들은 GitHub, Quora, 소셜 미디어와 같은 인기 온라인 플랫폼을 활용하여 악성 페이로드를 전달하고 궁극적으로 Cobalt Strike Beacon을 배포하는 등 고급 회피 기술을 사용하고 있습니다.
은밀한 침투
2024년 11월부터 2025년 4월 사이에 가장 활발했던 이 캠페인은 매우 설득력 있는 스피어 피싱 이메일로 시작되었습니다. 이 이메일은 주로 석유 및 가스 산업의 주요 국영 기업의 통신을 모방하여 수신자가 악성 첨부 파일을 열도록 속였습니다. 이 첨부 파일은 일반적으로 악성 .lnk 파일, 미끼 PDF 문서, PDF로 위장한 실행 파일이 포함된 숨겨진 디렉토리와 같은 기만적인 구조를 가진 RAR 압축 파일이었습니다.
스피어 피싱 이메일의 예
.lnk 파일이 실행되면 악성코드는 사용자 환경 내에서 이 파일들을 복사하고 이름을 변경하여 추가적인 침해를 위한 발판을 마련했습니다. 사용된 핵심 기술은 합법적인 BugSplat 충돌 보고 유틸리티(BsSndRpt.exe)를 악용하는 DLL 하이재킹이었습니다. 공격자들은 이 유틸리티의 이름을 변경하고 악성 DLL과 연결하여 유틸리티가 원래의 코드 대신 악성 코드를 로드하도록 강제했습니다.
快捷方式“Requirements.lnk”的执行流程图
nau.exe 프로세스 작동 계획
악의적인 목적으로 합법적인 플랫폼 활용
탐지를 더욱 회피하기 위해 악성 DLL은 동적 API 해결 및 XOR 암호화된 해시를 사용하여 정적 분석을 어렵게 만들었습니다. 또한 Windows API 함수를 후킹하여 악성 라이브러리 내의 사용자 지정 함수로 호출을 리디렉션했습니다. 이 함수들은 웹 기반 소스에서 셸코드를 가져왔으며, 특히 Microsoft Tech Community, Quora, GitHub 및 러시아 소셜 네트워크와 같은 플랫폼의 사용자 프로필에서 발견된 HTML 콘텐츠 내에 명령 및 제어(C2) 정보와 페이로드 URL을 삽입했습니다.
다양한 인기 리소스의 악성 프로필
합법적인 사용자 생성 콘텐츠 내에 악성 데이터를 숨기는 이 방법은 공격자들이 복잡하고 탄력적인 실행 체인을 만들 수 있도록 했습니다. 반사 로더인 셸코드는 Cobalt Strike Beacon을 프로세스 메모리에 직접 주입하여 C2 서버와 통신을 설정하도록 설계되었습니다. 식별된 계정은 공격을 위해 특별히 제작되었지만, 이 기술은 합법적인 사용자 게시물이나 댓글을 침해하는 데 쉽게 적용될 수 있습니다.
주요 시사점
-
위협 행위자들은 Cobalt Strike와 같은 잘 알려진 도구를 숨기기 위해 점점 더 정교한 방법을 사용하고 있습니다.
-
합법적인 온라인 플랫폼이 명령 및 제어 인프라를 호스팅하고 악성 페이로드를 전달하는 데 악용되고 있습니다.
-
DLL 하이재킹 및 동적 API 해결은 일반적인 회피 기술입니다.
-
스피어 피싱 이메일은 여전히 주요 초기 접근 벡터입니다.
이 캠페인은 주로 러시아 IT 기업을 표적으로 삼았지만, 중국, 일본, 말레이시아, 페루에서도 활동이 관찰되었습니다. 조직은 이러한 고급 위협을 탐지하고 차단하기 위해 경계 모니터링을 유지하고, 직원들을 위한 사이버 보안 인식 교육을 강화하며, 강력한 보안 솔루션을 배포하는 것이 좋습니다. 침해 지표에는 서명되지 않은 BugSplatRc64.dll 파일의 존재 또는 비표준 파일 이름으로 나타나는 BugSplat 유틸리티가 포함됩니다.
출처
-
표적 공격은 인기 온라인 플랫폼의 계정을 C2 서버로 활용합니다., Securelist.
-
해커, GitHub 및 소셜 미디어를 사용하여 Cobalt Strike Beacon 전달, Cyber Press.
-
해커, GitHub 및 소셜 미디어를 사용하여 Cobalt Strike Beacon 배포, GBHackers News.
-
카스퍼스키, GitHub, Quora 및 소셜 네트워크에서 정보를 수집하여 조직을 표적으로 삼는 사이버 공격 발견, Kaspersky.
이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.