APT는 코로나바이러스를 이용해 악성코드를 확산시킨다

APT 위협 그룹은 최근 코로나 바이러스 전염병을 악용하여 악성 코드를 배포하는 스피어 피싱 캠페인을 사용하여 발견되었습니다.

현재 세계는 코로나19 사태로 인해 예외적인 상황을 겪고 있습니다. 바이러스 확산을 막기 위해 전 세계 수많은 기업이 새로운 원격(원격) 근무 모드를 출시했습니다. 이로 인해 공격 표면이 크게 확대되어 기업은 이제 엄격한 규칙을 수립하고 조치를 취해야 하기 때문에 정보 보안 측면에서 큰 과제를 안고 있습니다. 여러 가지 조치 기업과 IT 시스템의 운영 연속성을 보장합니다.

그러나 확장된 공격 표면은 지난 며칠 동안 나타난 유일한 사이버 위험이 아닙니다. 많은 사이버 범죄자들이 이러한 글로벌 불확실성을 적극적으로 이용하여 피싱 캠페인을 수행하고 맬웨어를 배포하며 많은 기업의 정보 보안에 위협을 가하고 있습니다.

APT는 전염병을 이용합니다

지난주 말, Vicious Panda라는 APT(Advanced Persistant Threat) 그룹이 다음과 같은 캠페인을 벌이고 있는 것으로 나타났습니다. 스피어피싱, 코로나 바이러스 전염병을 사용하여 악성 코드를 확산시킵니다. 이메일에는 수신자에게 코로나바이러스에 대한 정보가 포함되어 있다고 설명했지만 실제로는 두 개의 악성 RTF(Rich Text Format) 파일이 포함되어 있었습니다. 피해자가 이 파일을 열면 RAT(원격 액세스 트로이 목마)가 실행되어 스크린샷을 찍고 피해자 컴퓨터에 파일 및 디렉터리 목록을 생성하고 파일을 다운로드할 수 있습니다.

이 캠페인은 지금까지 몽골의 공공 부문을 표적으로 삼았으며, 일부 서구 전문가에 따르면 이는 전 세계의 다양한 정부와 조직을 대상으로 진행 중인 중국의 최근 작전 공격을 나타냅니다. 이번 캠페인의 특징은 새로운 글로벌 코로나 바이러스 상황을 활용하여 잠재적인 피해자를 보다 적극적으로 감염시키고 있다는 것입니다.

피싱 이메일은 몽골 외무부에서 보낸 것으로 보이며 바이러스에 감염된 사람 수에 대한 정보가 포함되어 있다고 주장합니다. 이 파일을 무기화하기 위해 공격자는 중국 위협 제작자 사이에서 인기 있는 도구인 RoyalRoad를 사용했습니다. 이 도구를 사용하면 MS Word에 통합된 Equation Editor의 취약점을 악용하여 복잡한 방정식을 만들 수 있는 개체가 포함된 사용자 지정 문서를 만들 수 있습니다.

생존 기술

피해자가 악성 RTF 파일을 열면 Microsoft Word는 취약점을 이용하여 악성 파일(intel.wll)을 Word 시작 폴더(%APPDATA%MicrosoftWordSTARTUP)에 로드합니다. 이 방법을 사용하면 위협의 탄력성이 높아질 뿐만 아니라 맬웨어를 완전히 실행하려면 Word를 다시 시작해야 하기 때문에 샌드박스에서 실행될 때 전체 감염 체인이 폭발하는 것을 방지할 수 있습니다.

그런 다음 intel.wll 파일은 악성 코드를 다운로드하고 해커의 명령 및 제어 서버와 통신하는 데 사용되는 DLL 파일을 로드합니다. 명령 및 제어 서버는 매일 엄격하게 제한된 시간 동안 작동하므로 감염 체인의 가장 복잡한 부분을 분석하고 액세스하기가 어렵습니다.

그럼에도 불구하고 연구원들은 이 체인의 첫 번째 단계에서 적절한 명령을 받은 직후 RAT가 로드 및 해독되고 DLL이 로드되어 메모리에 로드된다는 것을 확인할 수 있었습니다. 플러그인과 유사한 아키텍처는 이 캠페인에서 볼 수 있는 페이로드 외에 다른 모듈이 있음을 시사합니다.

신규 APT에 대한 방어조치

이 악성 캠페인은 다양한 트릭을 사용하여 피해자의 시스템에 침투한 다음 정보 보안을 손상시킵니다. 그러한 캠페인으로부터 자신을 보호하려면 다양한 조치를 취하는 것이 중요합니다.

첫 번째는 매우 중요합니다. 직원이 이메일을 받을 때 주의를 기울이는 것이 중요합니다. 이메일은 주요 공격 벡터 중 하나이지만 이메일 없이는 거의 모든 회사가 할 수 없습니다. 모르는 사람으로부터 이메일을 받았다면 열지 않는 것이 좋으며, 열었다면 첨부 파일을 열거나 링크를 클릭하지 마십시오.

피해자의 정보 보안을 손상시키기 위해 이 공격은 Word의 취약점을 악용합니다. 실제로 패치되지 않은 취약점이 원인이다. 다수의 사이버 공격 성공, 기타 보안 문제와 함께 심각한 데이터 유출로 이어질 수 있습니다. 이것이 바로 취약점을 최대한 빨리 해결하기 위해 적절한 패치를 적용하는 것이 매우 중요한 이유입니다.

이러한 문제를 해결하기 위해 식별을 위해 특별히 설계된 솔루션이 있습니다. 패치 관리 및 설치. 이 모듈은 회사 컴퓨터의 보안을 보장하는 데 필요한 패치를 자동으로 검색하여 가장 긴급한 업데이트의 우선 순위를 정하고 설치 일정을 예약합니다. 익스플로잇 및 악성 코드가 감지된 경우에도 설치가 필요한 패치에 대한 정보가 관리자에게 보고됩니다.

솔루션은 필요한 패치 및 업데이트 설치를 즉시 시작하거나, 필요한 경우 패치가 적용되지 않은 컴퓨터를 격리하여 웹 기반 중앙 관리 콘솔에서 설치를 예약할 수 있습니다. 이런 방식으로 관리자는 패치와 업데이트를 관리하여 회사를 원활하게 운영할 수 있습니다.

불행하게도 문제의 사이버 공격은 현재의 글로벌 코로나바이러스 상황을 이용하여 기업의 정보 보안을 손상시키는 마지막 공격이 아닐 것입니다.

출처 : habr.com