공격자가 초기 접근을 위해 카메라 관리 소프트웨어를 악용

요약

공격자들은 초기 기업 환경 침입을 위해 카메라 관리 소프트웨어를 손상시키고 있습니다. 접근을 확립한 후, 역방향 셸을 배포하고 합법적인 윈도우 바이너리를 통해 지속성을 유지하며 DLL 사이드로딩을 사용하여 명령 및 제어(beaconing)를 설정합니다. 이 접근 방식은 신뢰할 수 있는 시스템 프로세스와 함께 악성 코드를 실행하여 탐지를 회피하는 데 도움을 줍니다.

조사

헌트리스 분석가들은 캠페인을 식별했고 CMS.exe 가 초기 진입 지점으로 사용되었습니다. 조사를 통해 rs.win32.exe 를 사용자 쓰기 가능한 디렉토리에 배포하였으며, 뒤이어 WpcMon.exe 를 악용하여 수정된 zlib DLL을 사이드로딩하였습니다. 네트워크 분석 역시 특정 외부 IP 주소와의 통신 활동(beaconing)을 확인했습니다.

완화

조직은 카메라 관리 플랫폼을 재고하고, 이에 대한 접근을 제한하며, 이 시스템들을 중요한 공격 표면의 일부로 취급해야 합니다. 애플리케이션 제어를 구현하여 AppData 와 같은 사용자 쓰기 가능한 위치에서 실행 파일 및 DLL이 실행되지 않도록 하는 것이 강력히 권장됩니다. 방어자들은 또한 합법적인 윈도우 바이너리를 포함하는 비정상적인 프로세스 체인을 모니터링해야 합니다.

대응

이 활동이 탐지될 경우, 보안 팀은 추가적인 수평 이동이나 C2 통신을 방지하기 위해 영향을 받은 엔드포인트를 격리해야 합니다. CMS.exe or rs.win32.exe 비정상적인 디렉토리에서 시작된 WpcMon.exe 프로세스 체인을 검토합니다. 식별된 악성 DLL 및 관련 C2 IP 주소에 대한 환경 전반에 걸친 수색을 수행합니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 상대는 피싱 첨부 파일을 통해 초기 접근에 성공했습니다. 지속성과 명령 및 제어를 위해, 그들은 “랜딩 위드 더 랜드”(LotL) 기법을 사용하려고 합니다. 그들은 rundll32.exe 를 사용하여 알려진 C2 서버 144.172.116.37에 네트워크 요청을 실행할 계획입니다. 이를 통해 합법적인 윈도우 시스템 프로세스와 함께 동화하여 기본적인 프로세스 이름 기반 탐지가 악성 활동을 식별하기 더 어렵게 만들고자 합니다. 목표는 블랙리스트 IP에 대한 연결을 생성하여 방화벽 규칙을 트리거하는 것입니다.

• 회귀 테스트 스크립트:

  # C2 IP 탐지 규칙을 트리거하는 시뮬레이션 스크립트
  # rundll32를 사용하여 대상 IP로의 연결을 시작합니다
  # 참고: 이는 콘솔에서 오류를 발생할 수 있으며, IP는 유효한 DLL 진입 지점이 아니지만, 네트워크 연결 시도는 OS/방화벽에 의해 기록됩니다.
  
  $C2_IP = "144.172.116.37"
  Write-Host "rundll32.exe를 통해 $C2_IP로의 C2 연결을 시뮬레이션..."
  Start-Process "rundll32.exe" -ArgumentList "javascript:alert('C2_SIM');$C2_IP" -WindowStyle Hidden
  
  # 연결 시도를 보장하기 위한 파워셸 대체 방법
  Write-Host "포트 443에서 $C2_IP로의 TCP 연결 시도..."
  $tcpClient = New-Object System.Net.Sockets.TcpClient
  try {
      $tcpClient.Connect($C2_IP, 443)
  } catch {
      Write-Host "기대한 대로 연결 실패(아마도 IP에 접근할 수 없음), 그러나 텔레메트리가 생성되어야 합니다."
  } finally {
      $tcpClient.Close()
  }

• 정리 명령:

  # 이 특정 시뮬레이션에 의해 생성된 지속적인 아티팩트는 없음
  Write-Host "시뮬레이션 정리 완료. 수정된 파일이나 레지스트리 키 없음."