UAC-0099 및 Sandworm, Yggdrasil을 통해 MythicRatatoskr 백도어 배포

요약

INC 및 The Gentlemen 랜섬웨어 그룹과 관련된 제휴사들이 AI 기반 침입 생태계를 활용하여 정찰, 명령 생성, 데이터 삼지작업을 자동화하고 있습니다. 운영자는 대규모 침입을 지원하기 위해 상용 LLM과 함께 Phantom이라는 맞춤형 프레임워크를 사용합니다. 상당한 OPSEC 실패로 인해 명령 및 제어 서버와 저장된 AI 세션 데이터가 노출되었습니다.

조사

조사는 연구원이 Phantom 소스 코드 및 AI 세션 데이터베이스를 포함하는 열린 디렉토리를 호스팅하는 명령 및 제어 서버(45.227.254.43)를 발견한 후 시작되었습니다. 노출된 구성 파일과 자격 증명 분석을 통해 추가적으로 여섯 개의 적에 의해 제어되는 서버가 밝혀졌습니다. 연구원들은 AI가 많은 기술적 실행을 수행하고 있는 한편 인간 운영자는 감독을 유지하는 고도로 자동화된 워크플로를 발견했습니다.

완화

조직은 특히 FortiClient EMS, SimpleHelp, cPanel 같은 가장자리 시스템의 패치를 우선시하여 일반적인 초기 접근 경로를 차단해야 합니다. RMM, VPN 및 원격 액세스 플랫폼 전반에 다단계 인증(MFA)을 적용하는 것은 자격 증명 재사용 위험을 줄이는 데 필수적입니다. 방어자는 EDR 변조 방지를 활성화하고 무단 보안 서비스 종료 또는 알려진 취약 드라이버의 로딩을 모니터링해야 합니다.

대응

악성 활동이 식별되면, 영향을 받은 가장자리 장치를 격리하고 EMS 및 RMM 플랫폼의 관리 계정을 감사하여 무단 추가 항목을 조사합니다. VPN 연결 스크립트를 검토하여 의심스러운 변경 사항을 찾아보고, 손상된 자격증명을 즉시 회전합니다. 예약된 작업과 활성화된 역 SOCKS 터널을 철저히 검사하여 지속적인 C2 채널을 식별하고 종결합니다.

시뮬레이션 실행

• 공격 서사 및 명령: 적은 MythicRatatoskr 백도어를 사용하여 대상 호스트에 지속 가능성을 구축하는 것을 목표로 합니다. 탐지를 시뮬레이션하기 위해 공격자는 세 가지 구별된 행동을 수행할 것입니다: 1) 특정 ‘MATCHWOK 백도어’ 문자열을 포함한 명령을 실행하여 트리거 선택1; 2) 매우 특정한 경로에 악성 바이너리를 드롭하여 C:windowssystem32updater.exe 를 트리거 선택2; 및 3) 새로운 Windows 서비스 이름 ” WindowsDefenderSvc.exe 를 트리거 선택3“를 생성합니다. 이는 초기 액세스가 고급 권한 지속으로 이어지는 다단계 배포를 모방합니다.

• 회귀 테스트 스크립트:

  # MATCHWOK/MythicRatatoskr 탐지 검증을 위한 시뮬레이션 스크립트
  # 주의: 이 스크립트는 관리자 권한으로 실행해야 합니다.
  
  Write-Host "[*] 시뮬레이션 시작..." -ForegroundColor Cyan
  
  # 1. 선택 1 트리거: CommandLine에 'MATCHWOK 백도어' 포함
  Write-Host "[+] 선택 1 트리거 중 (명령줄)..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c echo MATCHWOK 백도어 실행의 시뮬레이션입니다" -WindowStyle Hidden
  
  # 2. 선택 2 트리거: 이미지가 'C:windowssystem32updater.exe'
  Write-Host "[+] 선택 2 트리거 중 (파일 경로)..." -ForegroundColor Yellow
  $targetPath = "C:WindowsSystem32updater.exe"
  if (Test-Path $targetPath) { Remove-Item $targetPath -Force }
  New-Item -Path $targetPath -ItemType File -Force | Out-Null
  Start-Process $targetPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 3. 선택 3 트리거: ServiceName이 'WindowsDefenderSvc.exe'
  Write-Host "[+] 선택 3 트리거 중 (서비스 이름)..." -ForegroundColor Yellow
  $serviceName = "WindowsDefenderSvc.exe"
  # 'cmd.exe'를 실행하는 더미 서비스 생성
  New-Service -Name $serviceName -BinaryPathName "C:WindowsSystem32cmd.exe /c echo persistence" -DisplayName "Windows Defender Security Service" -StartupType Manual
  
  Write-Host "[*] 시뮬레이션 완료." -ForegroundColor Green

• 정리 명령:

  # 정리 스크립트
  Write-Host "[!] 시뮬레이션 아티팩트 정리 중..." -ForegroundColor Red
  
  # 서비스 제거
  Stop-Service -Name "WindowsDefenderSvc.exe" -ErrorAction SilentlyContinue
  sc.exe delete "WindowsDefenderSvc.exe"
  
  # 악성 파일 제거
  Remove-Item "C:WindowsSystem32updater.exe" -Force -ErrorAction SilentlyContinue
  
  Write-Host "[*] 정리 완료." -ForegroundColor Green