AI 생성 페이로드, 정부 기관 대상 CL-UNK-1211 공격 강화

요약

CL-UNK-1211로 추적되는 정교한 위협 클러스터가 정부 기관을 대상으로 AI 생성 페이로드와 스크립트를 사용하고 있습니다. 공격자들은 주로 리눅스 환경을 겨냥하여 정찰, 데이터베이스 덤프 및 메일박스 데이터 등의 민감한 정보를 유출합니다. 이 캠페인은 Go 기반의 맞춤형 RAT, 웹 쉘 및 가시성을 줄이기 위한 고급 안티 포렌식 기술을 특징으로 합니다.

조사

Unit 42는 웹 셸을 통한 초기 액세스부터 횡적 이동 및 데이터 유출까지의 공격 체인을 분석했습니다. 조사 결과, 악성 스크립트에 포함된 AI 생성 대화형 주석이 발견되어 자동화 또는 LLM 지원 코드 생성이 있음을 나타냅니다. 분석가들은 또한 SysGoRAT로 알려진 맞춤형 악성코드와 여러 메모리 내역역 셸 기술을 식별했습니다.

완화

조직은 승인되지 않은 역방향 셸 및 데이터 유출을 방지하기 위해 엄격한 아웃바운드 방화벽 정책을 시행해야 합니다. PwnKit 등의 취약성을 정기적으로 패치하고 PHP 구성을 강화하는 등 리눅스 환경을 강화하는 것이 중요합니다. auto_prepend_file, 도 필수적입니다. 비정상적인 프로세스 동작 및 로그 변조를 식별할 수 있는 고급 엔드포인트 보호 솔루션을 배포하는 것도 강력히 권장됩니다.

대응

악성 활동이 감지될 경우, 사고 대응자는 손상된 리눅스 호스트를 격리하고 모든 PHP 및 셸 구성을 검토하여 승인되지 않은 변경 사항을 확인해야 합니다. 시스템 로그를 철저히 검토하면서 공격자가 로그를 지우거나 조작했을 가능성을 고려해야 합니다. 영향을 받은 환경 전체에서 확인된 모든 관리자 및 서비스 계정에 대해 종합적인 자격 증명 재설정을 수행하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 리눅스 기반의 프로덕션 서버에 초기 접근을 얻었습니다. 지속성을 확보하고 EDR에 의해 플래그 지정되는 것을 방지하기 위해 Cortex XDR 에이전트를 비활성화하려고 합니다. 공격자는 먼저 pgrep 을 사용하여 “cortex”와 관련된 실행 중인 프로세스를 식별합니다. 이름이 확인되면, pkill 을 사용하여 해당 패턴과 일치하는 모든 프로세스에 종료 신호를 보냅니다. 이는 서명 기반 악성코드 경고를 피하기 위해 표준 시스템 바이너리를 사용하는 고전적인 “이주지에서의 생활” 접근 방식입니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # "Cortex XDR 프로세스를 종료하여 방어 회피" 규칙을 트리거하기 위한 시뮬레이션 스크립트.
  
  echo "[+] 시뮬레이션 시작: Cortex 프로세스 식별 중..."
  # 이는 'pgrep cortex' 텔레메트리를 생성합니다
  pgrep cortex || echo "[-] Cortex 프로세스를 찾을 수 없음, 그러나 텔레메트리가 생성되었습니다."
  
  echo "[+] 공격 시뮬레이션: Cortex 프로세스 강제 종료 시도 중..."
  # 이는 'pkill cortex' 텔레메트리를 생성합니다
  pkill cortex || echo "[-] pkill이 실행되었습니다 (대상이 아마도 실행 중이 아닐 수 있음)."
  
  echo "[+] 시뮬레이션 완료."

• 정리 명령:

  # 이 시뮬레이션 스크립트에 의해 지속적인 변경 사항은 없습니다.
  # 실제 테스트 환경에서 프로세스가 실제로 중단된 경우, 
  # 서비스를 다시 시작해야 할 것입니다:
  # sudo systemctl start cortex-agent
  echo "[+] 정리 중: 제거할 아티팩트가 없습니다."