정상 소프트웨어에 내장된 SectopRAT 변종 발견

요약

공격자들은 합법적인 소프트웨어 내에 SectopRAT 원격 접근 트로이목마를 숨기기 위해 다단계 로더를 사용하고 있습니다. 이 악성코드는 DLL 변조 및 복호화된 ASM 코드의 메모리 내 실행을 통해 보안 탐지를 피합니다. 배포 후에는 시스템의 원격 제어, 자격증명 탈취, 데이터 탈취를 가능하게 합니다.

조사

FortiGuard 사건 대응 팀은 합법적인 디지털 오디오 워크스테이션 디렉토리 내부에 숨겨진 SectopRAT를 발견했습니다 C:ProgramData에 있는 것으로 조사자들은 발견했습니다 FrameworkBase.dll 이 IAT 조작을 통해 수정되어 악성 sdkcra.dll을 로드하고 있다는 것을 밝혀냈습니다. 추가 분석을 통해 API 해시와 복잡한 난독화 기법이 악성 코드 기능과 실행을 숨기기 위해 사용됐다는 것이 드러났습니다.

완화 조치

조직은 합법적인 애플리케이션이 예기치 않은 위치가 아닌 기대된 디렉토리 경로에만 설치되도록 보장해야 합니다 C:ProgramData강력한 엔드포인트 보호를 배치하여 DLL 변조 및 무단 예약 작업 생성을 식별해야 합니다. 보안 팀은 또한 알 수 없는 IP 주소와 암호화 서비스 가장 백업 도메인으로의 의심스러운 아웃바운드 연결을 모니터링해야 합니다.

대응

SectopRAT 활동이 감지되면 영향을 받는 Windows 시스템을 즉시 격리하여 추가적인 C2 통신 및 데이터 탈취를 중단해야 합니다. 대응자는 메모리 덤프를 수집하여 복호화된 악성코드 페이로드를 복구하고 ReportDump.exe와 관련된 무단 예약 작업을 조사해야 합니다. 네트워크 로그는 98.142.252.140 및 Binance 테마의 확인된 백업 도메인과 연결을 위해 검토되어야 합니다.

키워드: SectopRAT, 원격 접근 트로이목마, 다단계 로더, DLL 변조, ASM 코드, 메모리 내 실행, FortiGuard 사건 대응, FrameworkBase.dll, IAT 수정, sdkcra.dll, API 해싱, 난독화, C:ProgramData, ReportDump.exe, Binance, 자격증명 탈취, 데이터 탈취, C2.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 DLL 사이드 로딩을 사용하여 지속성을 확보하고 탐지를 피하려고 합니다. 그들은 합법적인 버전의 ReportDump.exe 을 C:ProgramData에 떨어뜨리며, 이는 사용자에게 종종 간과되지만 특정 프로세스가 쓰기 가능하도록 할 수 있는 디렉토리 입니다. 그와 함께 악성 DLL을 sdkcra.dll이라는 이름으로 배치합니다. 이때 ReportDump.exe 이 실행되면 로컬 디렉토리에서 종속성을 검색하고 악성 sdkcra.dll을 로드하며, 표면상 무해한 프로세스 컨텍스트 내에서 공격자의 페이로드를 실행합니다.

• 회귀 테스트 스크립트:

  # SectopRAT 사이드 로딩 탐지를 위한 시뮬레이션 스크립트
  # 이 스크립트는 규칙을 트리거하기 위해 필요한 디렉토리 구조와 파일을 생성합니다.
  
  $targetDir = "C:ProgramDataSectopSim"
  $exeName = "ReportDump.exe"
  $dllName = "sdkcra.dll"
  
  # 1. ProgramData에 디렉토리 생성
  if (!(Test-Path $targetDir)) {
      New-Item -Path $targetDir -ItemType Directory | Out-Null
  }
  
  # 2. 더미 '합법적' 실행 파일 생성
  # 실제 공격에서는 실제 ReportDump.exe가 될 것입니다
  $dummyExe = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$exeName" -Value $dummyExe -NoNewline
  
  # 3. 악성 DLL 파일 생성
  $dummyDll = [System.Text.Encoding]::ASCII.GetBytes("MZ`x00`x01`x00`x00`x00`x00`x00`x00`x00`x00")
  Set-Content -Path "$targetDir$dllName" -Value $dummyDll -NoNewline
  
  Write-Host "[+] 시뮬레이션 파일이 $targetDir에 생성되었습니다"
  
  # 4. 탐지 트리거: EXE를 실행하고 DLL을 로드 시도
  # 참고: 이러한 파일들이 더미 파일이기 때문에 실제 PE 파일로 '로드' 되지 않음,
  # 그러나 탐지 규칙 논리 관점에서 파일 상호작용을 시뮬레이션함.
  # 실제 BAS 도구에서는 이벤트 ID 7이 트리거되는 것을 보장하기 위해 실제 서명된 바이너리를 사용할 것입니다.
  
  Write-Host "[*] $exeName의 실행을 시뮬레이션 중..."
  # 더미 파일이 이벤트 ID 7을 트리거하지 못하면 실제 프로세스를 사용하여 행동을 시뮬레이션
  # 탐지 규칙 (ImageLoaded)이 트리거되도록 실제 DLL 로드가 선호됩니다.
  # 이 스크립트는 가능하다면 PowerShell로 'ImageLoaded' 원격 정보를 시뮬레이션하지만,
  # 이상적으로 사용자는 실제 취약한 바이너리를 사용해야 합니다.
  
  Start-Process -FilePath "$targetDir$exeName" -ErrorAction SilentlyContinue
  
  Write-Host "[!] 당신의 SIEM에서 확인하십시오: 이미지: .*ReportDump.exe 및 ImageLoaded: .*sdkcra.dll"

• 정리 명령:

  # 정리 스크립트
  $targetDir = "C:ProgramDataSectopSim"
  if (Test-Path $targetDir) {
      Remove-Item -Path $targetDir -Recurse -Force
      Write-Host "[+] 시뮬레이션 파일을 정리했습니다."
  } else {
      Write-Host "[-] 대상 디렉토리를 찾을 수 없습니다. 정리할 것이 없습니다."
  }