조용하지 않은 채굴기: 엔드포인트 기반 암호화폐 채굴기 컴파일

요약

위협 행위자가 삼성 MagicINFO의 취약점을 악용하여 관리되는 엔드포인트에 초기 접근을 했습니다. 사전 제작된 바이너리를 배포하는 대신, 공격자는 여러 C 컴파일러와 .NET 유틸리티를 사용하여 손상된 호스트에서 맞춤형 Monero 암호화폐 채굴기를 직접 컴파일했습니다. 이 접근법은 환경별 최적화를 가능하게 했지만, 컴파일 활동의 갑작스러운 증가로 인해 고도로 가시성 있는 EDR 텔레메트리를 생산했습니다.

조사

Huntress 연구원들은 삼성 MagicINFO 설치와 관련된 비정상적인 EDR 텔레메트리를 통해 침입을 식별했습니다. 조사는 Apache Tomcat 서비스(tomcat9.exe)와 관련된 활동을 추적하여 AnyDesk를 다운로드하는 certutil 및 PowerShell 명령을 실행하는 것을 발견했습니다. 분석가들은 공격자가 로컬 관리자 계정을 생성하고 Windows Defender를 비활성화하며 암호화폐 채굴기를 빌드하기 위해 여러 컴파일러를 실행하는 것을 또한 관찰했습니다.tomcat9.exe) executing commands to download AnyDesk through certutil and PowerShell. Analysts also observed the attacker creating a local administrator account, disabling Windows Defender, and running several compilers to build the cryptominer.

완화 조치

조직은 알려진 취약점을 해결하기 위해 인터넷에 노출된 모든 삼성 MagicINFO 배포를 신속하게 패치해야 합니다. 방어자는 반복적인 원격 액세스 도구(RMM) 다운로드 시도와 엔드포인트에서의 예상치 못한 컴파일러 실행을 모니터링해야 합니다. 디지털 사이니지 관리 소프트웨어의 공공 인터넷 노출을 제한하면 공격 표면을 추가로 줄일 수 있습니다.

대응

의심스러운 컴파일러 활동이나 승인되지 않은 RMM 다운로드가 감지되면 추가 페이로드 실행을 방지하기 위해 영향을 받은 엔드포인트를 즉시 격리해야 합니다. 초기 접근 벡터를 결정하기 위해 취약한 웹 서비스를 포함한 모든 포렌식 조사를 수행하십시오. 승인되지 않은 추가를 위한 로컬 사용자 계정을 검토하고 Microsoft Defender와 같은 보안 제어의 무결성을 확인하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 초기 액세스를 확보하고 장기적인 지속성을 보장하려고 하며, 감지를 예방하려고 합니다. 공격자는 먼저 oldadministrator 라는 로컬 사용자를 만들고, 그들을 로컬 Administrators 그룹에 추가합니다. Windows Defender가 이후의 도구 다운로드를 감지하지 못하도록 하기 위해 공격자는 SystemSettingsAdminFlows.exe 를 disable 인자로 호출합니다. 이 특정 시퀀스는 암호화폐 채굴 악성코드 패밀리가 호스트 방어를 약화시키기 위해 사용하는 알려진 패턴을 모방하도록 설계되었습니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: 'oldadministrator' 및 Defender 비활성화 탐지 트리거
  # 참고: 이 스크립트는 관리자 권한으로 실행되어야 합니다
  
  Write-Host "[+] 시뮬레이션 시작..." -ForegroundColor Cyan
  
  # 1. 탐지 규칙에 필요한 특정 사용자 이름 생성
  Write-Host "[+] 계정 생성: oldadministrator" -ForegroundColor Yellow
  net user oldadministrator Password123! /add
  net localgroup administrators oldadministrator /add
  
  # 2. SystemSettingsAdminFlows.exe를 통한 Defender 비활성화 시뮬레이션
  # 규칙이 찾고 있는 특정 명령줄 패턴 사용
  Write-Host "[+] 'disable' 인자를 사용하여 SystemSettingsAdminFlows.exe 실행" -ForegroundColor Yellow
  Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue
  
  Write-Host "[+] 시뮬레이션 완료. SIEM에서 경고를 확인하세요." -ForegroundColor Green

• 정리 명령:

  # 정리 스크립트: 시뮬레이션 아티팩트 제거
  Write-Host "[+] 시뮬레이션 아티팩트 정리..." -ForegroundColor Cyan
  
  # 생성된 사용자 제거
  net user oldadministrator /delete
  
  # 참고: 테스트 환경의 안정성을 위해 필요하지 않은 한 Defender를 스크립트로 다시 활성화하지 않습니다.