APT36 관련 캠페인, 다단계 침입에 KMS Auto 사용

요약

KMS Auto의 악용으로 시작하여 여러 악성 페이로드를 전달하는 다단계 침입이 관찰되었습니다. 공격 체인은 XMRig를 통한 암호화폐 채굴에서 ScreenConnect와 MeshAgent를 사용한 원격 액세스 배포로 발전하여 마침내 랜섬웨어로 위장한 스케어웨어 페이로드를 생성했습니다. 마지막 단계에서는 실제 파일 암호화 없이 배경 화면을 변경하고 가짜 랜섬 요구 화면을 표시하는 심리적 전술을 사용했습니다.

조사

K7Labs는 초기 KMS Auto 실행이 12-24시간의 간격으로 꾸준히 연속된 포스트 침해 활동의 연속적인 단계를 이끄는 사건의 연쇄를 분석했습니다. 텔레메트리는 XMRig의 배포를 추적하고 이어서 합법적인 원격 관리 도구가 악의적으로 사용되었으며, 마지막으로 SecurityHealthServices.exe라는 페이로드가 실행되었습니다. 분석은 최종 페이로드가 시각적 변형과 파일 확장명 조작을 통해 랜섬웨어 동작을 모방하도록 설계된 스케어웨어임을 확인했습니다.

방지

조직은 허가되지 않은 소프트웨어 활성화 유틸리티의 사용을 제한하고, XMRig나 허가되지 않은 RMM 소프트웨어와 같은 알려진 이중 용도 도구의 실행을 모니터링해야 합니다. 엄격한 애플리케이션 화이트리스트를 구현하고 비정상적인 파일 확장명이나 대량 파일 이름 변경을 모니터링하면 영향을 줄일 수 있습니다. 사용자는 비공식 소프트웨어 저장소 및 유틸리티 다운로드를 위한 토렌트 사이트를 피하도록 교육받아야 합니다.

대응

탐지 후, 감염된 엔드포인트를 분리하여 다단계 감염의 추가 진행을 방지합니다. AppData의 숨겨진 파일과 시작 폴더 및 레지스트리 실행 키의 다중 지속성 메커니즘에 대한 포렌식 검사를 수행합니다. ScreenConnect나 MeshAgent와 같은 비인가 원격 관리 도구의 존재를 조사하여 공격자 접근의 범위를 식별합니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 초기 접근을 얻었고, 장기적으로 존재를 유지하고 침입을 수익화하기 위해 암호화폐 채굴자 및 원격 액세스 도구를 배포하려 합니다. 공격자는 먼저 kmsauto_setup.exe 라는 도구를 temp 디렉토리에서 실행합니다. 그런 다음 xmrig.exe 을/를 실행하여 자원 탈취를 시작하려고 합니다. 원격 제어를 용이하게 하기 위해, 공격자는 meshagent.exe을/를 드롭하고 실행합니다. 이 시퀀스는 탐지 규칙이 잡도록 설계된 특정 문자열 패턴을 생성합니다.

• 회귀 테스트 스크립트:

  # APT36 스타일의 다단계 실행을 시뮬레이션 하여 규칙 유효성을 검사
  $tempDir = "$env:TEMPSimulatedAttack"
  New-Item -ItemType Directory -Path $tempDir -Force | Out-Null
  
  # 1. KMS Auto 실행을 시뮬레이션 (이미지 경로에서 'kmsauto' 트리거)
  $kmsPath = Join-Path $tempDir "kmsauto_installer.exe"
  New-Item -Path $kmsPath -ItemType File -Force | Out-Null
  Write-Host "[+] KMS Auto 실행 시뮬레이션 중..."
  Start-Process $kmsPath -ArgumentList "/silent" -ErrorAction SilentlyContinue
  
  # 2. XMRig 실행 시뮬레이션 ('xmrig' 명령 줄 트리거)
  $xmrigPath = Join-Path $tempDir "xmrig.exe"
  New-Item -Path $xmrigPath -ItemType File -Force | Out-Null
  Write-Host "[+] XMRig 실행 시뮬레이션 중..."
  Start-Process $xmrigPath -ArgumentList "--donate-level=1 --cpu-max-threads-pct=50" -ErrorAction SilentlyContinue
  
  # 3. MeshAgent 실행 시뮬레이션 ('meshagent' 명령 줄 트리거)
  $meshPath = Join-Path $tempDir "meshagent.exe"
  New-Item -Path $meshPath -ItemType File -Force | Out-Null
  Write-Host "[+] MeshAgent 실행 시뮬레이션 중..."
  Start-Process $meshPath -ArgumentList "--install" -ErrorAction SilentlyContinue
  
  Write-Host "[!] 시뮬레이션 완료. SIEM에서 경고를 확인하십시오."

• 정리 명령:

  # 시뮬레이션 아티팩트 정리
  $tempDir = "$env:TEMPSimulatedAttack"
  if (Test-Path $tempDir) {
      Remove-Item -Path $tempDir -Recurse -Force
      Write-Host "[+] 정리 성공: $tempDir 제거됨."
  } else {
      Write-Host "[!] 정리 실패: 디렉토리를 찾을 수 없습니다."