중국 국가 연계 해커, 자동화 도구와 수작업 공격 결합

요약

Integrity Technology Group의 지원을 받는 중국 정부 연계 행위자들은 자동화된 스캐닝 도구, 대규모 봇넷, 수동 익스플로잇을 조합하여 사용합니다. 그들은 웹 애플리케이션과 Microsoft Exchange 서버의 취약점을 이용하여 중요한 인프라 부문의 민감한 데이터를 대상으로 합니다. 행위자들은 목표 달성을 위해 지속성, 자격 증명 탈취, 데이터 유출을 위한 다양한 기술을 활용합니다.

조사

이 조사는 FBI, CISA, NSA 등을 포함한 여러 국제 기관에 의해 Integrity Technology Group과 관련된 여러 조사에서 복구한 기술 증거를 토대로 수행되었습니다. 분석가들은 MicroScan, EBurst, Curlc4.txt와 같은 맞춤형 도구와 함께 표준 생활 기반 기술의 사용을 관찰했습니다. 발견된 내용에는 live700_v1.exe와 지속성을 위한 SoftEther VPN의 사용이 포함되었습니다.

완화

조직은 사용하지 않는 서비스와 포트를 비활성화하고 웹 애플리케이션 입력을 소독하여 삽입 공격을 방지해야 합니다. 모든 서비스에 대해 다중 인증(MFA)을 구현하고 강력한 ID 및 액세스 관리(ICAM) 정책을 채택하는 것이 중요합니다. 또한, 위험을 줄이기 위해 소프트웨어 및 펌웨어의 적시 패치가 권장됩니다.

대응

감지 후, 조직은 손상된 호스트를 격리하고 침입의 전체 범위를 결정하기 위해 위협 사냥을 시작해야 합니다. 관련 로그와 아티팩트를 검토하여 특정 TTP 및 활동 타임라인을 식별하세요. 네트워크에서 위협 행위자를 격리하고 제거하기 위해 확립된 플레이북을 사용하여 체계적으로 역추적 조치를 구현합니다.

시뮬레이션 실행

• 공격 서사 및 명령: 공격자는 워크스테이션에 초기 접근을 얻었습니다. 지속성을 유지하고 미지확 바이너리를 찾는 SOC 분석가들에게 탐지되지 않기 위해, 공격자는 “위장” 기술을 수행합니다. 그들은 단순한 무해한 실행 파일(이 경우에는 calc.exe)을 DiagTrack.exe로 이름을 바꿉니다. 그런 다음 비표준 디렉토리(C:UsersPublic)에서 이 이름이 바뀐 파일을 실행합니다. 이 행동은 위장 도구로 사용될 때 DiagTrack.exe 실행을 모니터링하는 탐지 규칙을 트리거하는 것을 목적으로 합니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: DiagTrack.exe로 위장
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  $SourceBinary = "C:WindowsSystem32calc.exe"
  
  # 1. 디렉토리가 없으면 생성
  if (!(Test-Path $TargetDir)) {
      New-Item -ItemType Directory -Path $TargetDir -Force | Out-Null
  }
  
  # 2. 바이너리를 복사하고 위장하여 이름 바꾸기
  Copy-Item -Path $SourceBinary -Destination "$TargetDir$MaliciousName" -Force
  
  # 3. 위장된 바이너리를 실행하여 탐지 트리거
  Write-Host "[+] 위장된 바이너리 실행: $TargetDir$MaliciousName"
  Start-Process -FilePath "$TargetDir$MaliciousName"
  
  Write-Host "[+] 시뮬레이션 완료. 탐지 확인을 위해 SIEM을 체크하세요."

• 정리 명령어:

  # 정리 스크립트
  $TargetDir = "C:UsersPublicDownloads"
  $MaliciousName = "DiagTrack.exe"
  
  if (Test-Path "$TargetDir$MaliciousName") {
      Remove-Item -Path "$TargetDir$MaliciousName" -Force
      Write-Host "[+] 정리 완료: $MaliciousName 제거."   
  } else {
      Write-Host "[-] 정리 실패: 파일을 찾을 수 없음."
  }