미국 랜섬웨어 공격에 사용된 Lindnor 백도어 및 보안 킬러 도구

요약

미국 조직에 대한 랜섬웨어 공격에서는 Anubis 랜섬웨어와 Backdoor.Lindnor라는 새롭게 식별된 맞춤형 백도어가 사용되었습니다. 공격자는 커널 수준의 접근을 얻기 위해 여러 가지 자체 취약 드라이버 사용 도구(BYOVD)와 보안 비활성화 실행 파일을 배포했습니다. 침입은 랜섬웨어 암호화 단계가 시작되기 전에 결국 저지되었습니다.

조사

조사는 Lindnor 백도어가 두 개의 Microsoft SQL Server 시스템에서 탐지된 후 시작되었습니다. 분석가들은 공격자가 Chrome과 VMware 관련 요소로 악성 코드를 위장하여 여러 보안 서비스를 종료하는 도구를 배포했다고 발견했습니다. Safe Mode에서 작동하도록 구성된 AnyDesk와 같은 정식 원격 액세스 소프트웨어도 관찰되었습니다.

완화 조치

조직은 불법 드라이버 로딩을 차단하고 BYOVD 기술에 대한 노출을 줄이기 위해 보안 통제를 구성해야 합니다. 서명이 없거나 알려진 취약한 드라이버에 대한 엄격한 실행 통제가 필수적입니다. 보안 팀은 또한 불법적인 원격 액세스 도구와 Safe Mode 지속성 또는 실행과 관련된 의심스러운 레지스트리 변경을 모니터링해야 합니다.

대응

악의적인 활동이 감지되면 영향을 받은 SQL Server 시스템을 격리하고 최근 설치된 실행 파일과 드라이버를 감사하십시오. Lindnor 백도어와 관련 파일 등을 포괄적으로 찾으십시오. healthcontroller64.exe or svchelper.exeAnyDesk 관련 수정 사항에 대한 레지스트리 키를 검토하고 비인가 지역 사용자 계정 생성에 대해 조사하십시오.

시뮬레이션 실행

• 공격 서술 및 명령: 적은 초기 접근을 획득하고 세이프 모드로 재부팅해도 지속될 원격 액세스 채널을 구축하려 합니다. 표준 시작 폴더 모니터링에서 탐지를 피하기 위해 공격자는 Windows 안전 부팅 레지스트리 구성을 목표로 삼습니다. 그들은 reg.exe 를 사용하여 SafeBootNetwork 레지스트리 키에 새로운 값을 삽입하고, 이를 “AnyDesk”로 명명하며 “서비스”로 설정합니다. 이로 인해 기술자나 공격자가 세이프 모드를 활성화할 때 AnyDesk가 자동으로 시작되어 주 보안 스위트가 비활성화될 때 백도어를 제공하게 됩니다.

• 회귀 테스트 스크립트:

  # reg.exe를 통한 AnyDesk 세이프 모드 지속성을 모방한 시뮬레이션 스크립트
  # 이 명령은 탐지 로직의 특정 문자열과 일치합니다.
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] 시뮬레이션 명령 실행 중: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] 성공: 텔레메트리가 생성되어야 합니다."
  } else {
      Write-Host "[-] 실패: 명령이 실패했습니다. 스크립트가 관리자로 실행되는지 확인하세요."
  }

• 정리 명령:

  # 시뮬레이션된 레지스트리 키 제거를 위한 정리 스크립트
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] 정리 중: $registryPath 제거"
  reg delete "$registryPath" /f