아카이류 작전, 엑스포 2025 미끼를 이용해 ANEL 전달

요약

중국 계열의 위협 행위자인 MirrorFace는 일본을 넘어 중부 유럽의 외교 연구소를 대상으로 공격을 확장했습니다. 이 그룹은 ANEL 백도어의 재도입과 맞춤형 AsyncRAT 변형의 배포를 포함하여 업데이트된 TTP를 도입했습니다. 이 캠페인은 Expo 2025을 주제로 한 스피어피싱 미끼를 사용하여 초기 접근을 확립했습니다.

조사

ESET는 영향받은 중부 유럽 외교 연구소와 협력하여 포렌식 조사를 수행했습니다. 연구원들은 악성 LNK 파일, 워드 문서에 포함된 VBA 코드, 그리고 악성코드 실행을 감추기 위한 Windows Sandbox 남용을 포함한 복잡한 감염 체인을 발견했습니다. 조사는 또한 Visual Studio Code 원격 터널을 사용하여 은밀한 접근을 유지한 흔적을 식별했습니다.

완화 조치

조직은 스피어피싱 시도를 식별하기 위해 이메일 필터링을 강화하고 의심스러운 LNK 파일 실행을 모니터링해야 합니다. 권한 없는 관리 도구의 사용을 제한하고 비정상적인 Windows Sandbox 활동을 감지하면 노출을 줄일 수 있습니다. 방어자는 또한 DLL 사이드 로딩과 관련된 이들 TTP에 대한 Visual Studio Code 원격 터널의 무단 생성을 모니터링해야 합니다.

대응

MirrorFace 활동이 감지되면, 영향을 받은 시스템을 즉시 격리하여 측면 이동과 추가 데이터 유출을 제한해야 합니다. 조사자는 Windows Sandbox 남용 증거와 레지스트리에 저장된 악성코드를 중심으로 손상 범위를 확인해야 합니다. Windows 이벤트 로그도 삭제, 수정 또는 기타 적대적 조작 흔적을 검토해야 합니다.

시뮬레이션 실행

전제조건: Telemetry & Baseline Pre-flight Check가 통과해야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하기 위해 설계된 적대적 기술(TTP)의 정확한 실행을 설명합니다. 명령과 내러티브는 식별된 TTP를 직접 반영해야 하며, 탐지 논리가 기대하는 정확한 텔레메트리를 생성하는 것을 목표로 해야 합니다. 추상적이거나 관련 없는 예시는 오진으로 이어질 수 있습니다.

• 공격 내러티브 및 명령: 적대자는 악성 OneDrive 링크를 사용하여 스피어피싱 캠페인을 시작합니다. 사용자가 링크와 상호작용하면 다운로드 프로그램이 실행됩니다. 이 시뮬레이션에서는 마지막 단계를 모방하여 쉘 명령을 실행하려고 시도합니다. AsyncRAT 페이로드. 규칙의 효과를 증명하기 위해, 먼저 “Noisy” 버전(경고가 트리거될 것임)을 실행한 후 환경 변수를 사용하여 문자열을 분할하여 규칙을 우회하는 “Evasive” 버전을 실행할 것입니다.

• 회귀 테스트 스크립트:

  # --- 단계 1: "Noisy" 공격 (탐지가 되어야 함) ---
  # 목표: PowerShell 명령에서 'AsyncRAT' 문자열을 직접 사용합니다.
  Write-Host "[!] Noisy 공격 실행 중..."
  Start-Process powershell.exe -ArgumentList "-Command Write-Host 'Initializing AsyncRAT payload...'"
  
  # --- 단계 2: "Evasive" 공격 (탐지를 우회해야 함) ---
  # 목표: 환경 변수를 사용하여 명령줄에 'AsyncRAT' 문자열이 직접 나타나지 않도록 합니다.
  Write-Host "[!] Evasive 공격 실행 중..."
  $part1 = "Async"
  $part2 = "RAT"
  Start-Process cmd.exe -ArgumentList "/c echo Starting $part1$part2 mechanism"

• 정리 명령:

  # 이 시뮬레이션에서는 영구 파일이 생성되지 않았습니다. 
  # 오직 프로세스만 스폰되었습니다. 정리가 필요하지 않습니다.
  Write-Host "[+] 모의 훈련 완료. 남겨진 아티팩트가 없습니다."