임페리얼 키튼 APT 프로파일: 전술, 기술, 절차, 악성코드 및 공격 시뮬레이션

요약

Imperial Kitten은 IRGC와 연관된 이란의 국가 스폰서 APT로서, 항공 우주 및 방위 조직을 타겟으로 잘 알려져 있습니다. 이 그룹은 매우 타겟팅된 스피어피싱 캠페인과 자격 증명 검증 포털을 통해 맞춤형 악성코드를 전달하는데 의존합니다. 그들의 툴킷에는 TWOSTROKE, MINIBIKE와 같은 여러 백도어가 포함되어 있으며, C2 통신을 위해 Microsoft Azure 인프라를 자주 사용합니다.

조사

이 보고서는 2017년부터 2026년까지 Imperial Kitten의 발전 과정을 추적하며, 공급망 운영에서 고급 소셜 미디어 캐팅 및 맞춤형 피싱 포털로의 전환에 주목합니다. 또한, 탐지를 회피하고 복잡하게 만드는 사용자 지정 LLVM 스타일의 난독화 기술 및 DLL 사이드 로딩 방법도 분석합니다.

완화

조직은 유사한 도메인 식별 및 정당한 인증 워크플로 확인을 위해 이메일 보안을 강화해야 합니다. 엔드포인트 방어는 DLL 사이드 로딩에 대해 강화해야 하며, Run 키의 무단 레지스트리 변경은 면밀히 모니터링해야 합니다. 승인된 클라우드 서비스로의 아웃바운드 트래픽 제한도 Azure 인프라를 통한 C2 통신의 위험을 줄일 수 있습니다.

대응

Imperial Kitten 활동이 감지되면, RDP 또는 SSH 터널을 통한 횡적 이동을 방지하기 위해 감염된 호스트를 격리하십시오. 포렌식 분석 수행 %LOCALAPPDATA% 에서 의심스러운 DLL을 찾고 지속성 메커니즘을 위한 레지스트리 키를 검사하십시오. 식별된 C2 도메인 및 도구와 관련된 이상한 패턴에 대비하여 Azure 관련 네트워크 트래픽을 검토하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령어: 적이 초기 액세스에 성공했습니다. 시스템 재부팅 후에도 머물기 위해, ‘MigAutoPlay’ 항목을 현재 사용자의 Run 레지스트리 키에 추가하는 로더를 배포합니다. 이는 Imperial Kitten 악성코드 프로필을 모방합니다. 지속성을 확립한 후, 적은 RDP를 통해 횡적으로 이동합니다. 탐지를 회피하고 포렌식 조사자로부터 자신들의 흔적을 숨기기 위해, 최근 연결된 RDP 서버 히스토리를 저장하는 레지스트리 키를 즉시 삭제합니다.

• 회귀 테스트 스크립트:

  # --- PART 1: 지속성 시뮬레이션 ---
  Write-Host "[+] MigAutoPlay를 통한 지속성 시뮬레이션..."
  $PersistencePath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  New-ItemProperty -Path $PersistencePath -Name "MigAutoPlay" -Value "C:UsersPublicloader.dll" -PropertyType String -Force
  
  # --- PART 2: 반포렌식 (RDP 정리) 시뮬레이션 ---
  Write-Host "[+] RDP 히스토리 정리 시뮬레이션..."
  $RDPPath1 = "HKCU:SoftwareMicrosoftTerminal Server ClientDefault"
  $RDPPath2 = "HKCU:SoftwareMicrosoftTerminal Server ClientServers"
  
  # 정리 시뮬레이션을 위해 키 삭제
  if (Test-Path $RDPPath1) { Remove-Item -Path $RDPPath1 -Recurse -Force }
  if (Test-Path $RDPPath2) { Remove-Item -Path $RDPPath2 -Recurse -Force }
  
  Write-Host "[!] 시뮬레이션 완료."

• 정리 명령:

  # 시뮬레이션 중 생성된 지속성 키 정리
  Remove-ItemProperty -Path "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun" -Name "MigAutoPlay" -ErrorAction SilentlyContinue
  
  # 참고: RDP 키는 시스템에 의해 관리되며, 삭제된 히스토리를 스크립트를 통해 쉽게 복원할 수 없습니다. 하지만 필요한 경우 빈 구조를 재생성할 수 있습니다.
  New-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientDefault" -Force | Out-Null
  New-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientServers" -Force | Out-Null