노출된 열린 디렉토리에서 PHP2Shell RCE 추적

요약

식별되지 않은 위협 행위자가 필리핀 정부 기관으로부터 데이터베이스 백업 68.8GB를 성공적으로 탈취했습니다. 공격자는 인터넷에서 접근 가능한 인증되지 않은 Python HTTP 디렉터리를 실행하는 스테이징 서버를 두고 간 것으로 드러났습니다. 서버에서 복구된 도구에는 Wrqsnx라는 이름의 리브랜딩된 GodPotato 페이로드와 PowerShell 스테이저가 포함되어 있었습니다.

조사

조사는 복구된 페이로드의 리버스 엔지니어링과 노출된 스테이징 서버의 접근 로그 검토를 포함했습니다. 연구원들은 공격자의 인프라를 UpCloud Ltd가 운영하는 Linux 호스트로 추적하고, 필리핀 해외 고용 관리국과 관련된 인증서 매칭을 통해 피해자를 식별했습니다. 분석 결과, 운영자는 PowerShell 스테이저를 사용하여 메모리 내에서 페이로드를 실행하고 디스크 기반 탐지를 회피한 것으로 나타났습니다.

완화

조직은 웹 서버 전반에서 디렉터리 목록을 비활성화하고 스테이징 환경이 공개적으로 노출되지 않도록 해야 합니다. 민감한 데이터베이스 백업에 대한 엄격한 접근 통제를 적용하고 Rclone 또는 Impacket과 같은 유틸리티의 비인가 사용 여부를 모니터링하세요. 서비스 계정은 또한 주기적으로 감사하여 SeImpersonate 와 같은 도구로 인한 로컬 권한 상승 위험을 줄여야 합니다.

대응

비인가 스테이징 디렉터리나 Impacket과 같은 알려진 익스플로잇 도구가 감지되면, 영향을 받는 시스템을 즉시 격리해야 합니다. 메모리 포렌식을 수행하여 메모리 내 스테이저를 식별하고, 의심스러운 네임드 파이프에 대해 시스템을 검사하세요. 서비스 계정 활동을 감사하여 예상치 못한 토큰 가장, 권한 상승 또는 시스템 수준 명령 실행 여부를 확인하세요.

시뮬레이션 실행

• 공격 서술 및 명령: 공격자는 portalload.ps1이라는 특수한 스테이저를 확보했습니다. 디스크에 큰 흔적을 남기지 않기 위해, 공격자는 이 스크립트를 사용하여 메모리 내로 인코딩된 조각을 직접 재구성하려고 합니다. 공격자는 PowerShell CLI를 통해 스크립트를 실행합니다. 이 행동은 SOC의 특정 파일명 탐지를 유발하기 위한 것으로, 실제 시나리오에서는 알려진 악성 도구 사용 시도로 간주됩니다.

• 회귀 테스트 스크립트:

  # 'portalload.ps1' 탐지 규칙을 유발하기 위한 시뮬레이션 스크립트입니다.
  # 스테이저 존재를 시뮬레이션하는 더미 파일을 생성합니다.
  New-Item -Path "$env:TEMPportalload.ps1" -ItemType "File" -Value "# Simulated Stager Content"
  
  # PowerShell을 통해 'malicious' 스테이저를 실행하여 탐지 텔레메트리를 생성합니다.
  Start-Process powershell.exe -ArgumentList "-File `"$env:TEMPportalload.ps1`""

• 정리 명령:

  # 시뮬레이션 중 생성된 더미 파일을 정리
  Remove-Item -Path "$env:TEMPportalload.ps1" -Force