악성코드 피싱 공격에서 사용되는 가짜 구매 주문 이메일

요약

위협 행위자가 악성 DOCX 첨부 파일을 구매 주문서로 위장하여 피싱 이메일을 배포하고 있습니다. 문서는 altChunk 요소를 활용해 악성 RTF 파일을 로드하며, 이는 VBScript를 실행하기 위해 Equation Editor 취약점을 악용합니다. 최종 페이로드는 자격 증명을 훔치고, 키 입력을 캡처하고, 다른 민감한 정보를 수집하도록 설계된 SnakeKeylogger 정보유출 도구입니다.

조사

안랩 보안 인텔리전스 센터(ASEC)는 악성 DOCX 첨부 파일로 시작되는 감염 체인을 분석했습니다. 연구자들은 RTF 파일, VBScript, PowerShell 및 Python 기반 로더가 포함된 다단계 실행 시퀀스를 확인했습니다. 이 체인은 궁극적으로 SnakeKeylogger를 배포하며, 이는 임베디드 쉘코드를 실행하기 위해 특정 복호화 기술에 의존합니다.

완화

사용자는 발신자 이메일 도메인을 확인하고 예기치 않은 첨부 파일이나 링크를 받을 때 주의해야 합니다. 조직은 altChunk 요소를 포함하는 의심스러운 .docx 파일을 감지하기 위해 이메일 필터링을 설정하고 pythonw.exe 또는 cscript.exe의 무단 실행을 모니터링해야 합니다. Microsoft Office 및 기타 소프트웨어도 알려진 취약점에 대해 패치되어야 합니다.

대응

악성 활동이 감지되면 데이터 유출을 막기 위해 영향을 받은 시스템을 격리하십시오. 침해 범위를 결정하고 Registry Run 키를 통해 지속성을 식별하기 위해 포렌식 분석을 수행하십시오. 특히 브라우저, 이메일 및 금융 서비스 자격 증명에 대해 감염된 호스트에서 접근한 계정의 자격 증명을 재설정하십시오.

시뮬레이션 실행

• 공격 서사 & 명령: 공격자는 DOCX 형식의 가짜 “구매 주문서”를 포함하는 스피어 피싱 이메일을 보냅니다. 피해자가 문서를 열면 매크로나 익스플로잇이 악성 페이로드를 추출하도록 트리거되며, 그 이름은 832734.Vbs 입니다. 공격자는 그런 다음 이 스크립트를 wscript.exe를 통해 실행합니다. 이 작업은 초기 거점을 확보하고 SnakeKeylogger 정보유출 도구를 사용하여 자격 증명을 수확하기 시작하기 위한 것입니다. 탐지 규칙은 프로세스 생성 명령줄에 832734.Vbs 파일 이름이 존재하기 때문에 실행을 잡아내도록 예상됩니다.

• 회귀 테스트 스크립트:

  # SnakeKeylogger 파일 이름 기반 실행을 재현하기 위한 시뮬레이션 스크립트
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  
  # 페이로드를 시뮬레이트하기 위해 더미 VBS 파일 생성
  "WScript.Echo 'Simulating SnakeKeylogger Payload'" | Out-File -FilePath $maliciousFile -Encoding ascii
  
  # wscript.exe를 통해 파일 실행하여 탐지 규칙 트리거
  Start-Process "wscript.exe" -ArgumentList "`"$maliciousFile`""
  
  Write-Host "시뮬레이션 완료. 832734.Vbs 관련 프로세스 생성 보안 로그를 확인하십시오."

• 정리 명령:

  # 정리: 시뮬레이션된 악성 파일 제거
  $tempPath = $env:TEMP
  $maliciousFile = Join-Path $tempPath "832734.Vbs"
  if (Test-Path $maliciousFile) {
      Remove-Item $maliciousFile -Force
      Write-Host "정리 성공: $maliciousFile 제거됨."
  }