Nimbus Manticore와 그들의 사이드로딩 감염 체인 탐지

요약

Nimbus Manticore, UNC1549로도 추적되는 이 그룹은 가짜 채용 포털을 사용하여 다단계 .NET 악성 소프트웨어 체인을 전달하는 표적 피싱 캠페인을 수행했습니다. 공격은 합법적인 Microsoft Visual Studio 구성 요소와 AppDomain 하이재킹을 남용하여 사용자 정의 DLL을 로드하고, 이는 다시 2단계 DLL을 배포하고 예약 작업을 통해 지속성을 생성했습니다. 명령 및 제어 인프라는 Azure 기반 도메인에서 호스팅되었습니다. 이 캠페인은 주로 중동과 유럽의 항공우주 및 방위 조직을 대상으로 했습니다.

조사

연구자들은 LinkedIn 미끼로 시작하여 ZIP 아카이브, 변경된 setup.exe.config 파일, 그리고 암호화된 스테이저를 통해 감염 체인을 완전히 재구성했습니다. 그들의 분석은 명명된 ServiceHub.VSDetouredHost.exe에 대한 남용을 밝혀냈으며, TOTPGuard.dll 로더, AES 암호화된 PE 헤더, 및 BackupCheck이라는 로그온 트리거 예약 작업을 포함한 네트워크 지표도 Azure 호스팅 도메인을 명령 및 제어 통신에 사용했다고 합니다.

완화

조직은 채용 테마의 사회 공학을 탐지하도록 직원들을 교육하고, 새로 등록된 도메인을 차단하거나 면밀히 모니터링하며, 사용자 쓰기 가능 디렉토리에 AppLocker 또는 동등한 제어를 시행해야 합니다. 방어자는 또한 BackupCheck 라는 이름의 예약 작업을 주시하거나 doit 인수를 사용한 실행을 감시해야 합니다. .NET 애플리케이션에서 AppDomain 하이재킹 동작과 Azure 호스팅 된 명령 및 제어 도메인으로의 의심스러운 트래픽을 모니터링하는 것도 권장됩니다.

대응

관련 활동이 탐지될 경우, 감염된 엔드포인트를 격리하고 악성 바이너리와 예약 작업 정의를 수집하며 관련된 Azure 도메인 및 가짜 채용 포털을 차단해야 합니다. 조사관은 AppData2FAGuard 폴더를 법의학적으로 검토하고, 지속 작업을 제거하며, 동일한 YARA 서명을 사용하여 다른 시스템에서 유사한 활동을 찾습니다. 이후 감지 논리를 업데이트하여 새로 식별된 지표를 포함해야 합니다.

시뮬레이션 실행

전제 조건: 텔레메트리 및 기준선 사전 비행 검사가 통과해야 합니다.

합리적 근거: 이 섹션은 탐지 규칙을 트리거하도록 설계된 상대 기술(TTP)의 정밀한 실행을 설명합니다. 명령과 내러티브는 발견된 TTP를 직접 반영하고 탐지 논리에서 예상되는 정확한 텔레메트리를 생성하는 것을 목표로 해야 합니다.

• 공격 내러티브 및 명령:
  공격자는 합법적인 Visual Studio setup.exe 바이너리를 얻어 이를 setup.exe (이름 변경 없음)으로 이름을 변경하고 쓰기 가능한 디렉토리에 배치했습니다. 그들은 TOTPGuard.dll 라는 악성 DLL을 제작하여 페이로드를 포함시켰습니다. AppDomain을 하이재킹하기 위해, 그들은 문자열 AppDomainInjection 을 PDB 경로 인수에 삽입합니다. 그런 다음 공격자는 다음과 같은 명령줄을 사용하여 실행 파일을 실행합니다:

  C:Tempsetup.exe /install /doit /dll "C:TempTOTPGuard.dll" /pdb "C:TempAppDomainInjection.pdb"

  이 정확한 호출은 Sigma 규칙의 모든 세 가지 CommandLine|contains 조건을 만족시켜 ProcessCreate 이벤트에서 규칙이 실행되도록 합니다.

• 회귀 테스트 스크립트:

  # -------------------------------------------------
  # Nimbus Manticore 탐지를 트리거하기 위한 회귀 스크립트
  # -------------------------------------------------
  $exePath   = "C:Tempsetup.exe"
  $dllPath   = "C:TempTOTPGuard.dll"
  $pdbPath   = "C:TempAppDomainInjection.pdb"
  
  # 파일이 존재하는지 확인 (테스트용 가짜 자리 표시자 생성)
  New-Item -ItemType File -Path $exePath -Force | Out-Null
  New-Item -ItemType File -Path $dllPath -Force | Out-Null
  New-Item -ItemType File -Path $pdbPath -Force | Out-Null
  
  # 악성 명령 줄 구성
  $arguments = @(
      "/install"
      "/doit"
      "/dll `"$dllPath`""
      "/pdb `"$pdbPath`""
  ) -join " "
  
  Write-Host "악성 setup.exe를 다음과 같은 인수를 사용하여 실행합니다:"
  Write-Host $arguments
  
  # 프로세스 실행 (더미 exe는 아무것도 하지 않으므로 즉시 종료됨)
  Start-Process -FilePath $exePath -ArgumentList $arguments -PassThru | Out-Null

• 정리 명령:

  # -------------------------------------------------
  # 회귀 테스트를 위해 생성된 아티팩트 정리
  # -------------------------------------------------
  $paths = @(
      "C:Tempsetup.exe",
      "C:TempTOTPGuard.dll",
      "C:TempAppDomainInjection.pdb"
  )
  
  foreach ($p in $paths) {
      if (Test-Path $p) {
          Remove-Item -Path $p -Force
          Write-Host "Removed $p"
      }
  }