팔로우 
요약
PasteSwitch는 검증된 Reddit 계정을 악용하여 ClickFix 소셜 엔지니어링을 통해 악성 페이로드를 배포한 대규모, 조정된 악성 광고 캠페인입니다. 이 작전은 사용자에게 macOS 스틸러, Windows 로더, 암호화폐 클리퍼를 설치하도록 하는 코드를 실행하게 만드는 속임수 터미널 명령을 사용합니다. 이 인프라는 차단을 피하기 위해 블록체인 기반 C2 회전 및 TLS SNI 스푸핑에 의존하는 매우 탄력적입니다.
조사
Hudson Rock과 ADAMnetworks의 연구원들은 Reddit에서 HBO Max 광고의 의심스러운 게시를 보고받은 후 이 캠페인을 식별했습니다. 조사는 macOS와 Windows를 타겟으로 하는 별도의 플랫폼별 브랜치를 가진 복잡한 전송 프레임워크를 발견했습니다. 분석자들은 또한 명령 및 제어 인프라를 관리하는 데 사용되는 바이낸스 스마트 체인의 회전 도메인과 스마트 계약을 식별했습니다.
완화
조직은 터미널 명령 실행에 대한 엄격한 제어를 시행하고 의심스러운 복사-붙여넣기 소셜 엔지니어링 행위를 모니터링해야 합니다. 보안 팀은 승인되지 않은 예약 작업 생성 및 메모리 내 쉘코드 실행을 감지해야 합니다. TLS SNI 불일치 모니터링 및 직접 IP 주소에 대한 비정상적인 아웃바운드 연결을 모니터링하는 것도 감지 개선에 도움이 될 수 있습니다.
대응
악성 활동이 감지되면 영향을 받은 엔드포인트는 즉시 격리되고 손상된 장치에서 액세스된 계정의 자격 증명을 재설정해야 합니다. 대응자는 메모리 포렌식을 수행하여 Amatera와 같은 주입된 페이로드를 식별해야 합니다. PasteSwitch C2 인프라와의 연결을 위해 블록체인 활동 및 네트워크 텔레메트리도 검토해야 합니다.
공격 흐름
탐지
관련 명령 감지에 의한 의심스러운 LOLBAS MSHTA 방어 회피 행동 (프로세스 생성 경유)
의심스러운 최상위 도메인(TLD) DNS 요청으로 인한 커맨드 및 제어 의심 (dns 경유)
가능성 있는 Base64 인코딩된 문자열 조작 [MacOS] (cmdline 경유)
의심스러운 Curl 실행 시도 [MacOS] (cmdline 경유)
MacOS 임시 폴더에 아카이브가 생성됨 (file_event 경유)
탐지를 위한 IOC (HashSha256): 2026년 가장 큰 AI 공급망 침해: LiteLLM 해킹이 수천 개의 글로벌 기업에 영향을 미치다 파트 3
탐지를 위한 IOC (HashSha256): 2026년 가장 큰 AI 공급망 침해: LiteLLM 해킹이 수천 개의 글로벌 기업에 영향을 미치다 파트 2
탐지를 위한 IOC (HashSha256): 2026년 가장 큰 AI 공급망 침해: LiteLLM 해킹이 수천 개의 글로벌 기업에 영향을 미치다 파트 1
탐지를 위한 IOC (SourceIP): 2026년 가장 큰 AI 공급망 침해: LiteLLM 해킹이 수천 개의 글로벌 기업에 영향을 미치다
탐지를 위한 IOC (DestinationIP): 2026년 가장 큰 AI 공급망 침해: LiteLLM 해킹이 수천 개의 글로벌 기업에 영향을 미치다
Amatera 스틸러 쉘코드 주입 탐지 [Windows Sysmon]
facebook.com SNI를 사용한 속임수 TLS SNI 스푸핑 감지 [Windows 네트워크 연결]
MSHTA 및 PowerShell 명령을 사용한 악성 활동 감지 [Windows Powershell]
시뮬레이션 실행
-
공격 내러티브 및 명령: 공격자가 피싱 링크를 통해 초기 접근을 얻었습니다. 기본 서명 기반 탐지를 우회하기 위해
mshta.exe로컬 임시 디렉토리에 호스팅된 악성 HTA 스크립트를 실행합니다. 내부에 접근하고 나면 공격자는 인코딩된 PowerShell 명령을 이용해 2단계 페이로드를 다운로드하며, 스크립트의 의도를 숨기려고 합니다. 마지막으로, 시스템 재부팅 후에도 접근을 유지하기 위해 예약 작업을 만들어 시스템이 시작될 때마다 PowerShell 스크립트를 실행합니다. -
회귀 테스트 스크립트:
# 1. MSHTA 실행 시뮬레이션 (T1218.005) # 가짜 HTA 파일 생성 $htaContent = "<html><body><script>alert('Malicious HTA');</script></body></html>" $htaPath = "$env:TEMPmalicious.hta" $htaContent | Out-File -FilePath $htaPath -Encoding ascii # MSHTA 트리거 (이것은 규칙을 트리거 할 것입니다) Start-Process "mshta.exe" -ArgumentList "`"$htaPath`"" # 2. 인코딩된 PowerShell 시뮬레이션 (T1027.017) # 아래는 'Write-Host "Malicious Payload Executed"'의 인코딩된 버전입니다 $encodedCommand = "V3JpdGUtSG9zdCAiTWFsaWNpb3VzIFBheWxvYWQgRXhlY3V0ZWQi" # 인코딩된 명령어로 PowerShell 트리거 (이것은 규칙을 트리거 할 것입니다) powershell.exe -NoProfile -EncodedCommand $encodedCommand # 3. 예약 작업 지속성 시뮬레이션 (T1053) # PowerShell 명령어를 실행하는 작업 생성 $taskName = "WindowsUpdateCheck" $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ExecutionPolicy Bypass -WindowStyle Hidden -Command 'Write-Host Malicious Task'" Register-ScheduledTask -Action $action -Trigger (New-ScheduledTaskTrigger -AtLogOn) -TaskName $taskName -Description "Simulated Persistence" -
정리 명령:
# 가짜 HTA 파일 제거 Remove-Item -Path "$env:TEMPmalicious.hta" -Force # 예약 작업 제거 Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false
