재앙에 초대: 한 번의 클릭으로 RAT 설치하기

요약

사이버 범죄자들은 사회 행사 초대장을 위장한 피싱 이메일을 사용하여 악성 코드를 배포하고 있습니다. 피해자들은 가짜 RSVP 버튼을 통해 CAPTCHA 확인 페이지로 리디렉션된 후 악성 다운로드 사이트로 이동합니다. 이 공격은 궁극적으로 원격 접근 트로이 목마(RAT)를 설치하여 공격자들에게 손상된 장치에 대한 광범위한 제어권을 제공합니다.

조사

Cofense 피싱 방어 센터는 모호하고 호기심을 자극하는 소셜 엔지니어링에 의존하는 캠페인을 식별했습니다. 연구원들은 신규 등록된 비브랜드 도메인에 호스팅된 CAPTCHA 페이지를 사용하여 합법성을 가장하는 다중 단계의 감염 흐름을 밝혀냈습니다. 최종 페이로드는 악성 접근에 악용되는 정품 원격 지원 어플리케이션입니다.

완화 방안

조직은 모호하거나 긴급한, 혹은 호기심을 자극하는 이메일 유혹을 인식하기 위한 직원 교육을 제공해야 합니다. 기술 방어 조치는 의심스러운 URL을 차단하는 이메일 보안 게이트웨이를 포함하며, 무단 원격 액세스 도구를 모니터링해야 합니다. 엔드포인트 보호는 또한 의심스럽거나 예상치 못한 상황에서 실행되는 합법적인 소프트웨어를 플래그해야 합니다.

대응

악성 활동이 감지되면 지속적인 무단 접근을 방지하기 위해 영향을 받은 호스트를 네트워크에서 즉시 격리하십시오. 종합적인 법의학 조사를 수행하여 감염 범위를 결정하고 잠재적인 데이터 유출을 확인하십시오. 영향을 받은 사용자 인증 정보를 재설정하고 무단 연결, 지속성 메커니즘, 또는 기타 의심스러운 활동에 대해 시스템 로그를 검토하세요.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적은 스피어피싱 공격을 시작하여 가짜 “행사 초대” 링크가 포함된 이메일을 보냅니다. 클릭하면 사용자는 파일 다운로드를 요청받습니다. 이 시뮬레이션에서는 최종 단계를 시뮬레이션하여 사용자가 다운로드된 ScreenConnect.ClientSetup.exe를 실행합니다. 목표는 원격 접근 거점을 확립하는 것입니다. 이 특정 파일명을 실행하면 고심각도 경고를 트리거합니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: ScreenConnect 탐지 트리거
  # 주의: 실제 악성 소프트웨어를 설치하지 않고 실행을 시뮬레이션하기 위해 목표 이름의 더미 파일을 생성하고 있습니다.
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] 더미 파일 생성: $tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] $targetName 실행 시뮬레이션 중..."
  # Start-Process를 사용하여 프로세스 생성 이벤트 (Event ID 1 / 4688) 생성
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] 시뮬레이션 명령 완료. SIEM에서 경고 확인."

• 정리 명령:

  # 정리 스크립트
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] 더미 파일 정리: $tempPath"
  } else {
      Write-Host "[-] 더미 파일을 찾을 수 없습니다. 정리할 항목 없음."