DarkBlinders 캠페인, 고급 스파이 기술로 피해자 겨냥

요약

DarkBlinders는 이스라엘과 이라크 쿠르드 자치구의 정부 및 외교 조직을 대상으로 하는 활발한 사이버 스파이 캠페인입니다. 위협 행위자는 맞춤형 악성코드를 배포하기 위해 가짜 화상 회의 애플리케이션 및 클라우드 드라이브 서비스의 복제품을 포함한 정교한 피싱 유인물을 사용합니다. 이 작전은 또한 명령 및 제어(C2)를 위해 GitHub 리포지토리를 활용하고, 두 번째 단계 백도어를 위한 선택적 활성화를 사용합니다.

조사

Dream Research Labs는 DarkBlinders 캠페인을 심층 분석하여 StarkMeet라 불리는 미끼 애플리케이션을 포함한 여러 단계의 감염 체인을 밝혀냈습니다. 연구원들은 악성코드를 리버스 엔지니어링하여 위협 행위자의 GitHub 기반 C2 인프라에 대한 읽기 전용 접근을 얻었습니다. 이를 통해 그들은 피해자 작업을 식별하고, 정부 클라우드 환경에서 1GB 이상의 데이터가 유출되는 것을 관찰할 수 있었습니다.

위협 완화

조직들은 검증되지 않은 소프트웨어 설치를 엄격히 통제하고, 개발자가 아닌 시스템에서 GitHub 같은 공유 서비스로의 비정상적인 아웃바운드 연결을 모니터링해야 합니다. 클라우드 드라이브 공유 링크와 의심스러운 이메일 첨부 파일에 대한 감시를 강화하는 것이 또한 권장됩니다. AppDomainManager 또는 메모리 내 로딩을 통해 비인가된 PowerShell 실행을 모니터링하면 이 로더 기술과 관련된 활동 식별에 더욱 도움이 될 수 있습니다.

대응

DarkBlinders 활동이 감지되면, 데이터 유출을 막기 위해 영향을 받은 호스트를 격리하고 메모리 페이로드의 법의학적 검사를 위한 메모리를 보존하십시오. 조직의 개발 환경에 의심스러운 활동이 발생한 경우, GitHub 개인 액세스 토큰과 리포지토리 액세스 로그를 검토하십시오. 식별된 피싱 인프라를 통해 노출되었을 가능성이 있는 모든 계정의 자격 증명을 재설정하십시오.

시뮬레이션 실행

• 공격 서술 및 명령: 적은 DarkBlinders 툴킷을 사용하여 지속성과 원격 액세스를 확립하려고 합니다. 초기 접근을 확보한 후, 공격자는 StarkMeet.exe라는 미끼 애플리케이션을 배포합니다. 탐지를 피하기 위해, 공격자의 악성코드는 추가 페이로드를 다운로드하기 위해 쉘 명령을 실행합니다. 이 시뮬레이션에서는 더미를 수동으로 만들어 StarkMeet.exe 실행을 유도할 것입니다 cmd.exe, 이는 규칙 논리와 일치합니다: (StarkMeet.exe) 그리고 (cmd).

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: DarkBlinders 구성요소 트리거 
  # 1. DarkBlinders 구성요소를 나타낼 더미 파일 생성 
  $dummyPath = "$env:TEMPStarkMeet.exe"
  New-Item -Path $dummyPath -ItemType File -Force
  
  # 2. '실행 가능한' 실제로 명령을 실행하게 할 소형 페이로드 사용 
  # 시뮬레이션 목적상, '악성' 프로세스를 시작하는 PowerShell 래퍼를 사용할 것
  # 이는 cmd.exe를 호출하는 구성 요소의 행위를 모방함
  
  Write-Host "[+] DarkBlinders 구성 요소 실행 시뮬레이션..."
  
  # StarkMeet.exe 프로세스가 cmd.exe를 생성하는 시뮬레이션 시작
  # 주의: 실제 시나리오에서는 실행 파일 자체가 실행을 수행할 것
  # Sigma 규칙의 특정 'Image' 로직을 트리거하려면 프로세스를 이름 변경하거나 
  # 해당 파일명을 실행하는 것을 시뮬레이션해야 합니다
  
  # 여기에서는 실제 바이너리를 쉽게 컴파일할 수 없기 때문에 StarkMeet.exe가 
  # cmd.exe를 실행할 때 Sysmon에서 볼 수 있는 프로세스 생성 이벤트를 시뮬레이션
  
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "cmd.exe /c echo 'Triggering Detection'" -ErrorAction SilentlyContinue
  
  # 실제 '실행'할 수 있는 비이진 파일을 실제로 실행할 수 없기 때문에, 
  # 가능하면 시뮬레이션된 프로세스 생성을 통해 정확한 텔레메트리 패턴을 생성하거나
  # 단순히 규칙을 트리거하기 위해 파일이 존재해야 함을 인정
  
  # 테스트를 위한 현실적인 접근:
  # 작은 실행 파일을 생성하거나 프로세스를 이름 지정하는 알려진 방법 사용
  # 이 스크립트에서는 시스템 도구를 StarkMeet.exe로 이름을 바꿀 수 있다고 가정
  Copy-Item "C:WindowsSystem32cmd.exe" -Destination "$env:TEMPStarkMeet.exe"
  Start-Process -FilePath "$env:TEMPStarkMeet.exe" -ArgumentList "/c echo DetectionTriggered"
  
  Write-Host "[+] 시뮬레이션 명령 전송됨. SIEM에서 StarkMeet.exe + cmd/powershell 확인."

• 정리 명령:

  # 시뮬레이션 아티팩트 정리
  Remove-Item -Path "$env:TEMPStarkMeet.exe" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] 정리 완료."