SEO Poisoning 캠페인이 Armorsteal 악성코드를 전파하다

요약

SEO 중독 캠페인은 초콜레티와 Microsoft Activation Scripts를 가장하는 가짜 웹사이트를 사용하여 Armorsteal이라는 Python 기반 멀웨어 패밀리를 배포하고 있습니다. 이 멀웨어는 원격 접속, 감시 및 정보 탈취 모듈을 포함하며, 암호화폐 지갑과 브라우저 자격 증명을 포함한 민감한 데이터를 탈취하도록 설계되었습니다. 이 공격은 Pyarmor 난독화를 사용하고 예약 작업을 통해 자동으로 지속성을 설정합니다.

조사

Zscaler 위협 사냥팀이 오염된 검색 결과를 겨냥한 타이포스쿼팅 도메인으로 추적하여 이 캠페인을 발견했습니다. 분석가들은 Python 3.11 런타임의 배포를 관찰하고 명령을 검증하는 데 사용된 RSA-2048 서명을 식별했습니다. 조사에서는 위협 행위자가 도메인과 호스팅 공급자 사이를 이동하면서 변화한 C2 인프라 변경도 문서화했습니다.

완화

조직은 식별된 악성 도메인과 IP 주소를 보안 통제 전반에 걸쳐 차단해야 합니다. 방어자는 윈도우 시스템 디렉터리에 저장된 무단 예약 작업과 의심스러운 파일을 조사해야 합니다. Microsoft Defender 예외를 검토하고 사용자가 합법적인 소프트웨어 다운로드 소스를 확인하도록 교육하는 것 또한 캠페인 노출을 줄이는 데 도움이 됩니다.

응답

Armorsteal 활동이 탐지되었을 때, 즉시 감염된 시스템을 격리하고 SysCheck2 및 SysCheckX와 같은 무단 예약 작업을 제거하세요. 의심스러운 파일을 탐색하고 C:WindowsSystemHealthUpdate 의 악성 다운로드를 위해 PowerShell 로그를 검토합니다. 알려진 C2 엔드포인트의 아웃바운드 HTTPS 트래픽을 모니터링하고 원격 디버깅 포트가 활성화된 브라우저 프로세스를 검사하세요.

시뮬레이션 실행

• 공격 내러티브 및 명령어: 적이 성공적으로 사용자를 SEO 중독을 통해 악성 스크립트를 실행하도록 속였습니다. 목적은 Armorsteal 원격 접근 모듈을 설치하는 것입니다. 탐지를 피하기 위해 공격자는 install.ps1 라는 PowerShell 스크립트를 사용하고, 실행 시 이를 합법적인 윈도우 시스템 건강 업데이트로 가장하여 C:WindowsSystemHealthUpdate 와 같은 기만적인 디렉터리 구조를 만듭니다.

• 회귀 테스트 스크립트:

  # Armorsteal 설치 패턴의 시뮬레이션
  # 1단계: 기만적인 디렉터리 구조 생성
  $targetDir = "C:WindowsSystemHealthUpdate"
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory -Force
  }
  
  # 2단계: 악성 설치 프로그램 실행 시뮬레이션
  # 이 명령어는 'selection_powershell' 및 'selection_directory' 로직을 발생시키기 위한 것입니다.
  powershell.exe -ExecutionPolicy Bypass -File "install.ps1" -TargetDir "$targetDir"
  
  # 주의: install.ps1이 로컬에 존재하지 않을 수 있으므로, Sigma 규칙이 실제로 찾고 있는 명령줄 트리거를 시뮬레이션합니다.
  Start-Process "powershell.exe" -ArgumentList "-File install.ps1"
  
  # 3단계: 'selection_directory' 요구사항을 만족시키기 위한 더미 파일 생성
  $dummyFile = Join-Path $targetDir "armorsteal_module.dll"
  New-Item -Path $dummyFile -ItemType "File" -Force

• 정리 명령어:

  # 시뮬레이션 동안 생성된 악성 디렉터리와 파일 제거
  Remove-Item -Path "C:WindowsSystemHealth" -Recurse -Force