Kothamine 멀웨어가 Tailcat을 활용하여 은밀한 네트워크 접근을 실현

요약

Kothamine은 악성 npm 패키지를 통해 배포되는 문서화되지 않은 원격 액세스 트로이 목마(RAT)입니다. 이는 Tailscale의 오픈 소스 도구 tailcat을 활용하여 암호화된 명령 및 제어(C2) 채널을 설정하고, 전통적인 네트워크 검사를 우회합니다. 이 악성코드는 데이터 절도와 시스템 제어와 같은 기능을 확장할 수 있는 모듈식 플러그인 시스템을 특징으로 합니다.

조사

연구원들은 dotnet-runtime-base와 같은 악성 npm 패키지를 분석하여 Kothamine을 식별했습니다. 조사 결과는 explorer.exe를 대상으로 하며 resilient 통신을 위해 tailcat을 사용하는 인젝터를 포함하는 다단계 실행 프로세스를 드러냈습니다. 기술적 분석은 명령 암호화를 위한 AES-GCM 사용 및 추가 DLL을 로딩하기 위한 플러그인 아키텍처를 보여주었습니다.

완화

사용자는 저장소 기록, 유지보수자, 종속성 평판을 점검하여 npm 패키지를 엄격하게 검사해야 합니다. 조직은 개발자 환경에 대한 엄격한 제어를 구현하고 Tailcat이나 tailcat과 같은 네트워킹 도구의 무단 사용을 모니터링해야 합니다. 무단 예약 작업 및 Windows Defender 예외 변경에 대한 정기적인 스캔도 권장됩니다.

대응

탐지 후 영향을 받은 시스템을 격리하여 tailcat 채널을 통한 횡적 이동 및 데이터 유출을 방지합니다. explorer.exe에서 메모리 포렌식을 수행하여 주입된 Kothamine 에이전트 DLL을 식별합니다. Windows Defender 예외 목록 및 예약 작업을 감사하여 ‘MicrosoftEdgeUpdateTask’와 같은 지속성 메커니즘을 찾습니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 공격자는 Kothamine 악성코드를 배포하여 지속성을 확립하고 네트워크 탐지를 피하고자 합니다. 우선, 공격자는 악성 페이로드를 이동시키는 합법적 업데이트 프로세스를 모방합니다 %APPDATA%MicrosoftEdgeUpdateCore.exe. 삽입 단계에서 탐지를 피하기 위해 공격자는 숨겨진 윈도우 플래그로 PowerShell 명령을 실행합니다. 이 명령은 호출하도록 설계되었습니다 VirtualAllocEx and CreateRemoteThread 대상 프로세스에 코드를 주입하여 암호화된 C2 통신을 용이하게 합니다 tailcat.exe.

• 회귀 테스트 스크립트:

  # Kothamine 시뮬레이션 스크립트
  $appData = [System.Environment]::GetFolderPath('ApplicationData')
  $targetPath = Join-Path $appData "MicrosoftEdgeUpdateCore.exe"
  $maliciousPayload = "C:WindowsSystem32calc.exe" # 더미 페이로드로 계산기 사용
  
  # 1. 악성 바이너리 드롭 시뮬레이션(T1218)
  Copy-Item $maliciousPayload $targetPath -Force
  Write-Host "[+] 페이로드가 $targetPath에 드롭되었습니다"
  
  # 2. 삽입 명령 실행 시뮬레이션(T1055)
  # 참고: 우리는 규칙이 찾는 명령줄 문자열을 시뮬레이션하고 있습니다.
  # 스크립트 없이 원 CLI 문자열에서 'OpenProcess'를 쉽게 호출할 수 없으므로,
  # Sysmon/EDR에서 캡처될 명령줄 원격 분석을 시뮬레이션합니다.
  
  $cmd = "powershell -NoP -NonI -W Hidden -Exec Bypass -Command `"`$mem = [Runtime.InteropServices.Marshal]::AllocHGlobal(1024); [Runtime.InteropServices.Marshal]::WriteProcessMemory(...)`""
  
  Start-Process -FilePath $targetPath -ArgumentList $cmd
  Write-Host "[+] $targetPath를 통한 악성 명령 실행"

• 정리 명령:

  # 시뮬레이션 아티팩트 정리
  $appData = [System.Environment]::GetFolderPath('ApplicationData')
  $targetPath = Join-Path $appData "MicrosoftEdgeUpdateCore.exe"
  if (Test-Path $targetPath) {
      Remove-Item $targetPath -Force
      Write-Host "[+] $targetPath 정리 완료"
  }