팔로우 
분석
Ferocious Kitten은 최소 2015년부터 활동 중인 이란 중심의 사이버 스파이 그룹입니다. 이 그룹은 weaponized Microsoft Office 문서를 spear-phishing을 통해 전달하여 MarkiRAT이라는 맞춤형 implant를 설치합니다. 이 implant는 키 로깅, 스크린샷 캡처, 자격 증명 수집, HTTP(S)를 통한 단계적 유출을 수행합니다. 이 그룹은 Telegram과 Chrome의 바로 가기 하이재킹과 같은 지속성 기술을 사용하며, 파일을 RTL(오른쪽에서 왼쪽으로) 오버라이드 유니코드 트릭으로 위장하고, Windows BITS를 다운로드 및 프록시 검색에 악용합니다. 또한 PowerShell stealer를 전달하기 위해 MSHTML RCE 취약점 CVE-2021-40444를 활용합니다.
조사
분석가들은 관찰된 행동을 MITRE ATT&CK 기술과 매핑해야 합니다. 예를 들어 T1566.001 (Spearphishing 첨부파일), T1204.002 (사용자 실행), T1574 (실행 흐름 하이재킹), T1036.002 (위장 – RTLO), T1197 (BITS 작업), T1518.001 (소프트웨어 탐지 – 보안 도구), T1056.001 (키로깅), T1071.001 (웹 프로토콜 C2) 등이 있습니다. 침해 지표로는 “update.exe”를 Public 폴더에 작성하는 악성 Office 매크로, 악성코드를 가리키도록 이름이 변경된 바로 가기, “pdj”와 같은 BITS 작업 이름, 매개변수 “u”, “k”를 포함하는 C2 URL에 대한 HTTP GET/POST 및 유출된 파일 확장명 (.kdbx, .gpg 등) 등이 있습니다. PowerShortShell 또는 MarkiRAT 페이로드를 호스팅하는 의심스러운 도메인에 대한 네트워크 트래픽을 기록해야 합니다.
완화
계층 방어를 배치하십시오: 매크로 차단을 활성화하거나 신뢰할 수 있는 Office 파일만 허용 목록에 추가하고 이메일 보안 게이트웨이를 사용하여 첨부 파일을 스캔하며, 최소 권한 실행 정책을 시행하고 bitsadmin 사용을 모니터링 및 제한하며, %APPDATA% 바로 가기를 보안하여 바로 가기 하이재킹을 비활성화하고, MarkiRAT 행동(프로세스 주입, %PUBLIC%AppDataLibs에 대한 파일 쓰기, 키 로깅)을 탐지하기 위한 엔드포인트 탐지 및 대응(EDR)을 배포하며, CVE-2021-40444 및 이후 취약점을 위해 시스템을 패치하세요. 설치된 보안 제품에 대한 변조 보고서에 대해 정기적으로 감사를 수행하십시오.
대응
감염이 의심되는 경우, 엔드포인트를 격리하고 휘발성 메모리, 파일 시스템 및 Windows 이벤트 로그를 수집하고 BITS 작업 목록을 캡처하며 악성 바로 가기를 식별하십시오. MarkiRAT 바이너리를 제거하고 관련된 예약 작업 및 시작 항목을 삭제하며 손상된 자격 증명을 재설정하십시오. C2 도메인에 대한 위협 정보 조회를 수행하고 탐지 서명을 업데이트하며 적절한 이해관계자에게 통지하십시오. 사용자 인식을 향상시키고 매크로 처리를 강화하기 위해 사고 후 검토를 수행하십시오.
공격 흐름
탐지 규칙
MarkiRAT C2 통신 및 데이터 유출 탐지 [Windows 네트워크 연결]
보기
MarkiRAT 보안 소프트웨어 탐사 탐지 [Windows Sysmon]
보기
Ferocious Kitten APT Spearphishing 및 지속성 탐지 [Windows 프로세스 생성]
보기
Public 사용자 프로필의 의심스러운 파일 (file_event 사용)
보기
Autostart 위치의 의심스러운 바이너리/스크립트 (file_event 사용)
보기
시뮬레이션 지침
공격 서사 및 명령:
-
- 전달: 이메일 첨부파일 (
update.exe)가 피해자의C:UsersPublic디렉토리에 드롭되었습니다. - 실행: 공격자는 악성 매크로나 스크립트를 사용하여
cmd.exe /c "C:UsersPublicupdate.exe"를 실행하여 페이로드를 시작합니다. - 지속성: 파일이 Public 폴더에 존재하므로, 모든 사용자가 이를 다시 실행할 수 있어 boot‑or‑logon autostart 기술이 만족됩니다.
- 로그 영향을 미치는 사항: Sysmon은
Image = C:WindowsSystem32cmd.exe및CommandLine에"/c C:UsersPublicupdate.exe"를 포함하는 이벤트를 기록합니다; 탐지 규칙은/c조각과 알려진 악성 이미지 경로에서 일치합니다 (update.exe).
- 전달: 이메일 첨부파일 (
-
회귀 테스트 스크립트: 아래 스크립트는 테스트 머신에서 공격자의 단계를 복제합니다.
# ------------------------------------------------- # Ferocious Kitten 시뮬레이션된 페이로드 배포 # ------------------------------------------------- # 1. 더미 악성 실행 파일 생성 (플레이스홀더) $maliciousPath = "$env:PUBLICupdate.exe" Set-Content -Path $maliciousPath -Value "This is a mock payload" -Encoding ASCII # 2. cmd.exe의 /c 플래그를 사용하여 페이로드 실행 $cmd = "$env:windirSystem32cmd.exe"