대규모 첩보 작전과 연결된 미드나잇 블리자드

요약

ReversingLabs는 러시아 위협 그룹 Midnight Blizzard와 관련된 대규모 스파이 활동 캠페인을 식별했습니다. 이 작전은 ChocoShell로 알려진 PowerShell 스테이저와 CornFlake라는 Go 기반 백도어를 사용하여 자격 증명을 훔치고 지속성을 유지합니다. 위협 행위자는 보고에 따르면 Claude AI를 활용하여 소프트웨어 임플란트를 재구축하고 재배포하여 탐지를 회피하는 노력을 했습니다.

조사

연구자들은 두 개의 초기 악성 코드 해시를 텔레메트리 분석을 통해 확장하고, 스테이징 서버, 5개의 추가 스테이저 변형, 루어 문서 및 관련 피싱 인프라를 발견했습니다. 이 조사는 악성 코드 해시가 AI 지원 재구축으로 인해 자주 변경되지만, 핵심 동작과 C2 통신 패턴은 샘플 전반에 걸쳐 대체로 일관되게 유지된다는 것을 보여주었습니다.

완화

조직은 Microsoft Entra ID 로그인 활동을 검토하여 의심스러운 디바이스 코드 인증 시도를 찾아봐야 합니다. 운용상 가능하다면 조건부 접근을 통해 디바이스 코드 흐름을 차단하는 것이 권장됩니다. 보안 팀은 또한 캠페인과 관련된 C2 IP 주소 및 악성 유사 도메인에 대한 네트워크 수준의 차단을 구현해야 합니다.

대응

악성 활동이 감지되면 대응자는 Microsoft 365 토큰 도난 및 디바이스 코드 피싱 시도를 조사해야 합니다. 무단 서비스 생성 및 LocalAppData에서 실행되는 의심스러운 프로세스를 확인하세요. PowerShell 스크립트 블록에서 포함된 원시 IP 주소, 비정상적인 명령 및 관찰된 공격 체인과 관련된 특정 단계 레이블을 검토하세요.

시뮬레이션 실행

• 공격 서사 및 명령: 적은 합법적인 Windows 서비스 구성 요소로 위장하여 지속성을 확보하고 탐지를 피하려고 합니다. 공격자는 디렉터리 구조를 생성합니다. AppDataLocalMicrosoftsvchost32 그리고 악성 바이너리 svchost32.exe라는 이름으로 떨어뜨립니다. 합법적인 svchost.exe와 유사한 이름을 사용하여 바쁜 시스템의 노이즈에 섞이기를 기대합니다. 배치된 후에는 이 바이너리를 실행하여 Go 기반 백도어 활동을 시뮬레이션합니다.

• 회귀 테스트 스크립트:

  # Midnight Blizzard svchost32.exe 탐지 시뮬레이션 스크립트
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  $executableName = "svchost32.exe"
  $executablePath = Join-Path $targetDir $executableName
  
  # 1. 디렉토리 구조 생성
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force | Out-Null
      Write-Host "[+] 디렉토리 생성: $targetDir"
  }
  
  # 2. 악성 코드 재현을 위한 더미 파일 생성 (파일명/경로 모방)
  # 실제 시나리오에서는 실제 Go 백도어 바이너리일 것입니다.
  New-Item -Path $executablePath -ItemType File -Force | Out-Null
  Write-Host "[+] 더미 실행 파일 생성: $executablePath"
  
  # 3. "악성 코드" 실행하여 Sysmon 이벤트 ID 1 트리거
  Write-Host "[!] 백도어 시뮬레이션 실행 중..."
  Start-Process -FilePath $executablePath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  Write-Host "[+] 실행 완료. SIEM에서 탐지를 확인하세요."

• 정리 명령:

  # 시뮬레이션 아티팩트 제거를 위한 정리 스크립트
  $targetDir = "$env:LOCALAPPDATAMicrosoftsvchost32"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] 시뮬레이션 디렉토리 및 파일 제거됨: $targetDir"
  } else {
      Write-Host "[-] 디렉토리가 없어 정리할 것이 없습니다."
  }