DriveSurge, ClickFix 및 가짜 업데이트 Drive-By 공격을 대규모로 사용

요약

DriveSurge는 합법적인 웹사이트를 손상시키고 악성 JavaScript를 삽입하여 방문자를 zTDS로 알려진 오픈 소스 트래픽 분배 시스템을 통해 이동시키는 신흥 초기 액세스 브로커입니다. 이 공격자는 가짜 브라우저 업데이트 페이지나 ClickFix 스타일의 알림을 제공하여 macOS 및 Windows 사용자에게 속임수 다운로즈나 악성 PowerShell 명령을 통해 맬웨어를 전달합니다. 이 인프라에는 수천 개의 .icu 도메인이 NiceNIC를 통해 등록되고 불법 공유 호스팅 인프라에서 호스팅됩니다. 캠페인의 범위는 광범위하며 여러 브라우저와 운영 체제에 걸쳐 사용자들을 목표로 합니다.

조사

연구자들은 t.js, t..js, ext-b..js와 같은 특이한 JavaScript 파일 이름을 포함하여 운영과 관련된 8개의 명확한 기술적 지문을 확인했습니다. Nginx와 특정 JARM 해시와 같은 반복되는 서버 특성을 포함합니다. 인프라 매핑은 도메인 검색, WHOIS 이메일 피벗 및 손상된 웹사이트(jclforwarding.com 포함)의 분석에 의존했습니다. 팀은 또한 페이로드 전달 URL, 명령 제어 서버를 추출하고 특히 macOS 피해자를 목표로 한 클립보드 하이재킹 행동을 문서화했습니다. t.js, t..js, and ext-b..js, along with recurring server traits such as nginx and specific JARM hashes. Infrastructure mapping relied on domain-searching, WHOIS email pivots, and analysis of compromised websites including jclforwarding.com. The team also extracted payload delivery URLs, command-and-control servers, and documented clipboard hijacking behavior aimed specifically at macOS victims.

완화

조직은 문서화된 JavaScript 주입 패턴, 그리고 zTDS 관련 파일(jsrepo 포함)의 존재를 모니터링하고, 식별된 지문과 일치하는 NiceNIC를 통해 등록된 의심스러운 도메인을 차단해야 합니다. 뿐만 아니라, 인터넷에 노출된 웹 자산에 대해 엄격한 콘텐츠 보안 정책을 적용해야 합니다. 엔드포인트 보호는 제공에 사용되는 Base64로 인코딩된 PowerShell 및 Bash 명령 체인을 탐지할 수 있어야 합니다. jsrepo with the rnd parameter, and outbound connections to known bulletproof hosting IP addresses. Defenders should block suspicious .icu domains registered through NiceNIC that match the identified fingerprints and apply strict content security policies to internet-facing web assets. Endpoint protections should also be capable of detecting the Base64-encoded PowerShell and Bash command chains used in delivery.

대응

DriveSurge 활동이 탐지되면, 영향을 받은 웹 자산은 즉시 격리되어야 하고, 악성 JavaScript가 제거되어야 하며, 손상된 도메인 등록은 검토되거나 해지되어야 합니다. 식별된 도메인 및 IP 주소는 네트워크 경계에서 차단되어야 합니다. 보안 팀은 또한 악성 다운로드 명령을 실행한 시스템에 대해 포렌식 분석을 수행하고 노출된 자격 증명을 초기화해야 합니다. 관련 지표는 산업 ISAC 및 신뢰할 수 있는 파트너와 공유되어야 합니다.

시뮬레이션 실행

전제 조건: 텔레메트리 및 베이스라인 사전 비행 점검이 통과해야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하기 위해 설계된 적군 기술(전술, 기술 및 절차)의 정확한 실행을 설명합니다. 명령과 서사는 식별된 TTP를 직접 반영하고 탐지 논리가 기대하는 정확한 텔레메트리를 생성하는 것을 목표로 해야 합니다.

• 공격 내러티브 및 명령

  1. 단계 1 – 악성 페이로드 배포:
     공격자는 손상된 웹 서버에 t.js (또는 해시 기반 이름)의 JavaScript 파일을 업로드합니다. 파일은 추가 페이로드를 조용히 가져오는 DriveSurge HTML 스머글링 스니펫을 포함합니다.

  2. 단계 2 – 피해자 요청:
     피해자의 브라우저는 ( curl)을 사용하여 악성 파일을 요청하며, 요청 URI가 Sigma 정규 표현식과 일치하는 로그 항목을 생성합니다.

  3. 단계 3 – 경고 생성:
     SIEM은 액세스 로그 라인을 수집하고, Sigma 규칙은 파일명을 평가하여 경고를 발생시킵니다. field, and the alert is raised.

• 회귀 테스트 스크립트

  #!/usr/bin/env bash
  set -euo pipefail
  수행할 작업 -------------------------------
  WEB_ROOT="/var/www/html"
  MALICIOUS_NAME="t.js"
  MALICIOUS_PATH="${WEB_ROOT}/${MALICIOUS_NAME}"
  MALICIOUS_CONTENT='console.log("DriveSurge 페이로드 실행");'
  # 악성 JavaScript 배포 --------------------------------
  echo "${MALICIOUS_CONTENT}" | sudo tee "${MALICIOUS_PATH}" > /dev/null
  sudo chown www-data:www-data "${MALICIOUS_PATH}"
  sudo chmod 644 "${MALICIOUS_PATH}"
  # Apache가 새 파일을 인식할 시간을 주기 위해 --------------
  sleep 2
  # 피해자의 요청을 시뮬레이션 (텔레메트리 생성) ------------
  curl -s -o /dev/null "http://localhost/${MALICIOUS_NAME}"
  # 수동 검토를 위한 마지막 Apache 로그 항목 출력 ---------
  echo "=== 검증을 위한 최신 Apache 로그 항목 ==="
  sudo tail -n 5 /var/log/apache2/access.log | grep "${MALICIOUS_NAME}" || echo "로그 항목 없음"

• 정리 명령

  #!/usr/bin/env bash
  set -euo pipefail
  WEB_ROOT="/var/www/html"
  MALICIOUS_NAME="t.js"
  MALICIOUS_PATH="${WEB_ROOT}/${MALICIOUS_NAME}"
  # 악성 파일 제거
  sudo rm -f "${MALICIOUS_PATH}"
  echo "${MALICIOUS_PATH}를 정리했습니다."