이라크와 사우디아라비아 주로 노리던 공격 단체 머디워터
새 백도어는 머디워터의 파워스탯츠 멀웨어와 상당히 유사해
[보안뉴스 문가용 기자] 파워셸을 기반으로 한 백도어가 새롭게 발견됐다. 분석했더니 머디워터(MuddyWater)라는 해킹 단체가 이전에 사용했던 멀웨어와 상당히 유사한 면모들이 발견됐다고, 보안 업체 트렌드 마이크로(Trend Micro)가 발표했다.
머디워터는 작년에 처음 보안 업계가 발견하고 세부적으로 분석한 해킹 단체로, 이라크와 사우디아라비아의 정부 관련 기관이나 조직들을 주로 공격하는 것으로 알려져 있다. 하지만 여러 가지 기술을 사용해 자신들이 공격한 것을 능숙하게 감추기도 한다. 최근에는 이라크와 사우디아라비아 외에도 공격하는 모습을 보이기도 했다.
머디워터는 주로 피싱 이메일을 통해 공격을 개시한다. 최종 목적은 보통 정찰을 통한 정보 탈취다. 여태까지 이러한 공격 프로세스에서 큰 변화는 나타난 적이 없고, 툴들도 작은 업그레이드만 일부 진행됐을 따름이다. 즉 머디워터는 잦은 변화와 업그레이드를 특징으로 내세우는 공격 단체는 아니라는 것이다.
트렌드 마이크로에 의하면 최근 공격에서 발견된 악성 문서에서 머디워터의 향기가 물씬 풍긴다고 한다. 이 문서들은 누군가 터키에서부터 바이러스토탈(VirusTotal) 측으로 업로드한 것으로, 파워셸로 작성된 백도어를 드롭시킨다. 분석했더니 머디워터가 예전에 사용했던 파워스탯츠(POWERSTATS)라는 멀웨어와 거의 같은 기능을 가진 것으로 나타났다.
“차이점이 있다면 이미 널리 알려진 파워스탯츠와 달리 이번에 발견된 새 백도어는 클라우드 파일 호스팅 제공업자의 API를 사용해 C&C 통신 및 데이터 빼돌리기를 실시한다는 것입니다.”
한편 악성 문건 자체는 터키 정부 기관들의 공식 로고가 흐릿하게 첨부되어 있었다. 이를 선명하게 보려면 매크로를 활성화시켜야 한다는 알림 창이 뜨고, 내용이 궁금한 사용자들은 이에 응하도록 만들어졌다. 매크로에는 베이스52(base52)로 암호화 된 문자열이 포함되어 있는데, 이 방법 역시 머디워터가 사용했던 것 중 하나다. 사용자가 매크로를 활성화시키면 .dll 파일이 하나 드롭되는데, 여기에 파워셸 코드가 엠베드 되어 있다. 또한 .reg 파일도 하나 다운로드 되어 %temp% 디렉토리에 저장된다.
.dll 파일에 엠베드 된 파워셸 코드는 여러 가지 난독화 기술로 보호되어 있다. 하지만 가장 마지막에는 메인 백도어의 본체가 들어있는데, 파워스탯츠 멀웨어의 파워셸 버전이라고 해도 될 만큼 유사한 점이 많이 발견됐다.
백도어는 OS 이름, 도메인 이름, 사용자 이름, IP 주소 등의 정보를 수집하고, “::”와 같은 분리기를 사용해 저장한다. 즉 한 정보와 다른 정보를 이어붙여서 저장하되, 둘 사이에 ::를 삽입해 구분하도록 되어 있다는 것이다.
백도어는 형식의 이름을 가진 파일을 사용해 통신한다. 파일 뒤에 붙은 확장자는 다양해, 여러 목적에 맞게 공격자가 설정할 수 있다. .cmd는 명령이 들어간 텍스트 파일일 때, .reg는 myinfo() 함수에서 생성된 시스템 정보를 저장할 때, .prc는 .cmd 파일이 실행됐을 때의 결과를 로컬 머신에 저장할 때, .res는 .cmd 파일이 실행됐을 때의 결과를 클라우드에 저장할 때 사용하는 식이다.
이 백도어가 지원하는 명령은 업로드, 시스템에 계속 남아있기 위해 필요한 것들, 삭제, 탈출, 파일 다운로드 등을 포함하고 있다. “이번 공격은 터키 정보 조직들을 겨냥해 실시된 것이 거의 확실해 보입니다. 특히 금융과 에너지 분야에 집중되어 있었습니다. 이러한 점도 이전에 머디워터가 보여주었던 것과 비슷한 점입니다. 만약 정말 이 백도어를 머디워터가 만든 것이라면, ‘머디워터도 툴 업그레이드를 진행한다’는 걸 알게 해주는 사건이라고 봅니다.”
3줄 요약
1. 파워셸을 기반으로 한 전혀 새로운 백도어가 발견됨.
2. 공격 대상, 백도어 배포 전략, 백도어 기능 등 여러 면에서 머디워터가 떠오름.
3. 머디워터는 변신과 업그레이드가 특징인 단체가 아니기에, 이번 새로운 툴의 발견은 예외적인 경우가 됨.
[국제부 문가용 기자(globoan@boannews.com)]
새 백도어는 머디워터의 파워스탯츠 멀웨어와 상당히 유사해
[보안뉴스 문가용 기자] 파워셸을 기반으로 한 백도어가 새롭게 발견됐다. 분석했더니 머디워터(MuddyWater)라는 해킹 단체가 이전에 사용했던 멀웨어와 상당히 유사한 면모들이 발견됐다고, 보안 업체 트렌드 마이크로(Trend Micro)가 발표했다.
[이미지 = iclickart]
머디워터는 작년에 처음 보안 업계가 발견하고 세부적으로 분석한 해킹 단체로, 이라크와 사우디아라비아의 정부 관련 기관이나 조직들을 주로 공격하는 것으로 알려져 있다. 하지만 여러 가지 기술을 사용해 자신들이 공격한 것을 능숙하게 감추기도 한다. 최근에는 이라크와 사우디아라비아 외에도 공격하는 모습을 보이기도 했다.
머디워터는 주로 피싱 이메일을 통해 공격을 개시한다. 최종 목적은 보통 정찰을 통한 정보 탈취다. 여태까지 이러한 공격 프로세스에서 큰 변화는 나타난 적이 없고, 툴들도 작은 업그레이드만 일부 진행됐을 따름이다. 즉 머디워터는 잦은 변화와 업그레이드를 특징으로 내세우는 공격 단체는 아니라는 것이다.
트렌드 마이크로에 의하면 최근 공격에서 발견된 악성 문서에서 머디워터의 향기가 물씬 풍긴다고 한다. 이 문서들은 누군가 터키에서부터 바이러스토탈(VirusTotal) 측으로 업로드한 것으로, 파워셸로 작성된 백도어를 드롭시킨다. 분석했더니 머디워터가 예전에 사용했던 파워스탯츠(POWERSTATS)라는 멀웨어와 거의 같은 기능을 가진 것으로 나타났다.
“차이점이 있다면 이미 널리 알려진 파워스탯츠와 달리 이번에 발견된 새 백도어는 클라우드 파일 호스팅 제공업자의 API를 사용해 C&C 통신 및 데이터 빼돌리기를 실시한다는 것입니다.”
한편 악성 문건 자체는 터키 정부 기관들의 공식 로고가 흐릿하게 첨부되어 있었다. 이를 선명하게 보려면 매크로를 활성화시켜야 한다는 알림 창이 뜨고, 내용이 궁금한 사용자들은 이에 응하도록 만들어졌다. 매크로에는 베이스52(base52)로 암호화 된 문자열이 포함되어 있는데, 이 방법 역시 머디워터가 사용했던 것 중 하나다. 사용자가 매크로를 활성화시키면 .dll 파일이 하나 드롭되는데, 여기에 파워셸 코드가 엠베드 되어 있다. 또한 .reg 파일도 하나 다운로드 되어 %temp% 디렉토리에 저장된다.
.dll 파일에 엠베드 된 파워셸 코드는 여러 가지 난독화 기술로 보호되어 있다. 하지만 가장 마지막에는 메인 백도어의 본체가 들어있는데, 파워스탯츠 멀웨어의 파워셸 버전이라고 해도 될 만큼 유사한 점이 많이 발견됐다.
백도어는 OS 이름, 도메인 이름, 사용자 이름, IP 주소 등의 정보를 수집하고, “::”와 같은 분리기를 사용해 저장한다. 즉 한 정보와 다른 정보를 이어붙여서 저장하되, 둘 사이에 ::를 삽입해 구분하도록 되어 있다는 것이다.
백도어는
이 백도어가 지원하는 명령은 업로드, 시스템에 계속 남아있기 위해 필요한 것들, 삭제, 탈출, 파일 다운로드 등을 포함하고 있다. “이번 공격은 터키 정보 조직들을 겨냥해 실시된 것이 거의 확실해 보입니다. 특히 금융과 에너지 분야에 집중되어 있었습니다. 이러한 점도 이전에 머디워터가 보여주었던 것과 비슷한 점입니다. 만약 정말 이 백도어를 머디워터가 만든 것이라면, ‘머디워터도 툴 업그레이드를 진행한다’는 걸 알게 해주는 사건이라고 봅니다.”
3줄 요약
1. 파워셸을 기반으로 한 전혀 새로운 백도어가 발견됨.
2. 공격 대상, 백도어 배포 전략, 백도어 기능 등 여러 면에서 머디워터가 떠오름.
3. 머디워터는 변신과 업그레이드가 특징인 단체가 아니기에, 이번 새로운 툴의 발견은 예외적인 경우가 됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-10-31] .jpg)
