Kimsuky 연관 캠페인, 진화하는 랜섬웨어 배포 전술 강조

요약

Kimsuky 그룹은 이력서로 위장된 악성 한글(HWP) 문서를 사용하여 Funhouse 랜섬웨어를 배포함으로써 전술을 발전시켰습니다. 다단계 공격은 Quasar RAT을 배포하기 위해 스크립트를 실행하는 OLE 개체에 의존하며, 이는 랜섬웨어 페이로드를 설치합니다. 이 캠페인은 이전에 관찰된 LNK 기반 배포에서 문서 기반 초기 접근으로의 전환을 나타냅니다.

조사

안랩 보안 인텔리전스 센터는 감염 체인을 분석한 결과, 초기 침해는 악성 HWP 파일에서 시작됨을 발견했습니다. 연구원들은 Batch, VBS, PowerShell 스크립트의 순차적 실행을 관찰했으며, Python 기반 백도어와 Quasar RAT이 뒤따랐습니다. Quasar RAT 구성 파일 분석에서 여러 캠페인에서 공유되는 반복적인 뮤텍스 패턴과 C2 통신 특성도 드러났습니다.

완화

사용자는 예상치 못한 문서, 특히 이력서를 열 때 조심하고, 상호작용하기 전에 포함된 링크의 합법성을 확인해야 합니다. 조직은 한글 소프트웨어와 운영 체제에 최신 보안 업데이트를 적용해야 합니다. 또한 V3와 같은 엔드포인트 보안 솔루션을 최신 상태로 유지하는 것도 이러한 다단계 실행 기술을 탐지하는 데 중요합니다.

대응

악성 활동이 감지되면 Funhouse 랜섬웨어의 측면 이동과 암호화 단계를 방지하기 위해 감염된 엔드포인트를 격리하십시오. %TEMP% 디렉터리에서 의심스러운 .exe, .manifest, .bat 파일에 대한 포렌식 검토를 수행하십시오. 단체의 활동과 관련된 .dwg 확장자와 뮤텍스 패턴을 가진 무단 Quasar RAT 구성 파일을 모니터링하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적대 세력이 ‘이력서.Hwp’라는 한글 워드 프로세서 문서를 사용하여 스피어 피싱 캠페인을 시작합니다. 이력서.Hwp. 문서를 열면 포함된 OLE 개체가 단계적 페이로드를 다운로드 및 실행하도록 트리거합니다. 특정 탐지 트리거를 시뮬레이션하기 위해 우리는 QuasarRAT.exe 실행 파일을 실행하여 명령 줄에서 트리거 파일을 명시적으로 참조하는 과정을 시뮬레이션할 것입니다. 이력서.Hwp. 이는 문서기반 트리거를 사용하여 그들의 RAT을 실행하는 Kimsuky 그룹의 전술을 모방합니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: Kimsuky Funhouse 배포 트리거
  # 이 스크립트는 더미 바이너리를 생성하고 규칙을 트리거하는데 필요한 특정 명령 줄로 실행합니다.
  
  $DummyExe = "$env:TEMPQuasarRAT.exe"
  $TriggerFile = "이력서.Hwp"
  
  # 1. 탐지를 위한 RAT을 시뮬레이션하기 위해 더미 실행 파일을 만듭니다
  New-Item -Path $DummyExe -ItemType File -Force
  # 프로세스 생성 원본을 위해 간단한 'echo'를 사용하여 '실행 가능한' 파일로 만듭니다.
  Set-Content -Path $DummyExe -Value "이것은 탐지 테스트를 위한 더미 바이너리입니다."
  
  # 2. Sigma 규칙에 정의된 특정 명령 줄 패턴으로 더미 바이너리를 실행합니다
  # 규칙은 명령 줄의 'QuasarRAT.exe'와 '이력서.Hwp'를 찾습니다.
  Start-Process -FilePath $DummyExe -ArgumentList "/run /target $TriggerFile" -WindowStyle Hidden
  
  Write-Host "시뮬레이션 완료. SIEM에서 명령 줄에 $TriggerFile을 포함한 QuasarRAT.exe의 탐지를 확인하십시오."

• 정리 명령:

  # 정리 스크립트
  Remove-Item -Path "$env:TEMPQuasarRAT.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "정리 완료."