레이어 속 은닉: 타겟 이메일 캠페인에서 사용된 로더 드러내기

요약

광범위하게 사용 가능한 로더가 여러 위협 행위자에 의해 재활용되어 RAT 및 정보 탈취자를 전송하는 피싱 이메일에 사용하는데, 여기에 무기화된 JavaScript, PowerShell, LNK 및 ZIP 첨부 파일이 포함되어 있습니다. 로더는 은닉, 반사적 로딩, 프로세스 빈 공간 삽입 및 새로운 UAC 우회 메소드를 결합하여 파일리스 실행 및 권한 상승을 가능하게 합니다. 활동은 유럽과 중동 전역의 제조업 및 정부 기관을 대상으로 하는 것으로 관찰되었으며, 산업 데이터 및 자격 증명을 탈취할 명확한 목표를 가지고 있습니다.

조사

Cyble Research and Intelligence Labs는 전달 체인을 분석하고 네 단계의 회피 워크플로를 개요로 설명했습니다. 이는 난독화된 JavaScript 스테이저로 시작하여, PowerShell 스테가노그래픽 로더로 전환하고, 트로이화된 TaskScheduler 라이브러리를 악용하며, RegAsm.exe에 페이로드를 주입하는 것으로 끝납니다. 마지막 단계의 멀웨어는 PureLog Stealer로, 브라우저 자격 증명, 암호화폐 지갑 데이터 및 호스트/시스템 정보를 수집하여 유출합니다.

완화

샌드박스 폭발력 및 이메일로 전달된 콘텐츠로부터 스크립트 실행 차단과 같은 고급 이메일 보호를 사용하고, PowerShell 제한 언어 모드를 시행하며, 정당한 Windows 바이너리의 중공 탐지를 모니터링하십시오. 이미지 파일의 은닉 유무를 탐지하고 이 로더 체인에 관련된 반사적 .NET 어셈블리 로딩 및 UAC 우회 패턴을 드러내기 위해 EDR 규칙을 조정하십시오.

대응

지표가 나타나면 엔드포인트를 격리하고, 의심스러운 PowerShell 및 WMI 활동을 중지하며, 메모리 이미지를 캡쳐하고, 반사적 .NET 아티팩트 및 주입된 RegAsm.exe 프로세스를 추적하십시오. 잠재적으로 노출된 자격 증명을 초기화하고 연관된 악성 도메인 및 IP 주소를 차단하여 재감염 및 횡적 활동을 방지하십시오.

시뮬레이션 실행

전제조건: 원격 진단 데이터 및 기준점 사전 점검이 통과해야 합니다.

근거: 이 섹션에서는 탐지 규칙을 트리거하도록 설계된 적대 기술(TTP)의 정확한 실행을 세부적으로 설명합니다. 명령 및 설명은 확인된 TTP를 직접 반영해야 하며 탐지 논리에서 기대하는 정확한 원격 진단 데이터를 생성하는 것을 목표로 해야 합니다.

• 공격 설명 및 명령:
  공격자는 스파이 피싱 이메일에 숨겨진 PowerShell 페이로드가 스테가노그래피적으로 첨부된 JPEG 첨부파일을 보냅니다. 희생자가 첨부파일을 열면, 공격자의 초기 스크립트가 숨겨진 데이터를 추출하고, 이를 Base64로부터 디코딩하여 숨겨진 창에서 두 번째 단계의 PowerShell 로더를 실행합니다. 로더는 그 후 추가 도구를 다운로드하기 위해 C2 서버에 연락합니다. 피해자 호스트에서 생성된 정확한 명령줄은 다음과 같습니다:

  powershell -WindowStyle Hidden -EncodedCommand <Base64String>

  공격자는 명시적으로 스크립트에 “Base64″라는 단어를 포함시켰기 때문에 (예: 스크립트의 주석에 -EncodedCommand 랩퍼는 주석에 “Base64″를 인쇄합니다), 탐지 규칙의 selection_base64_decoded_script 조건과 일치하고, 숨겨진 창 플래그는 만족합니다 selection_hidden_powershell.

• 회귀 테스트 스크립트:

  # 숨겨진 PowerShell Base64 로더 시뮬레이션
  # -------------------------------------------------
  # 단계 1: 더미 PowerShell 스크립트 작성
  $script = 'Write-Host "Compromised host: $env:COMPUTERNAME"; Start-Sleep -Seconds 30'
  # 단계 2: Base64 (유니코드)로 인코딩
  $bytes = [System.Text.Encoding]::Unicode.GetBytes($script)
  $b64   = [Convert]::ToBase64String($bytes)
  # 단계 3: 인코딩된 페이로드로 숨겨진 PowerShell 실행
  Start-Process -FilePath "powershell.exe" `
      -ArgumentList "-WindowStyle Hidden -EncodedCommand $b64" `
      -WindowStyle Hidden `
      -NoNewWindow
  # 주석에 "Base64" 문자열 존재가 규칙을 만족시킵니다.

• 정리 명령:

  # 테스트에 의해 시작된 남아 있는 숨겨진 PowerShell 인스턴스 종료
  Get-Process -Name "powershell" | Where-Object {
      $_.StartInfo.Arguments -match "-WindowStyle Hidden"
  } | Stop-Process -Force
  
  # 선택 사항: 임시 파일 제거 (이 스크립트에서는 생성되지 않음)