Turla APT 그룹과 연결된 Cereal 악성코드 도구 세트

요약

ESET은 Turla APT 그룹에 의해 식별된 Cereal이라는 새로운 모듈형 .NET 악성코드 툴셋을 발견했습니다. 이 프레임워크는 장기 사이버 첩보를 위해 Microsoft Exchange 서버를 구체적으로 표적으로 삼아 제작되었습니다. 이메일 전송 파이프라인을 가로채거나 .NET 네이티브 이미지 캐시를 악용하는 등 고급 기술을 사용하여 은밀성을 유지하고 탐지를 피합니다.

조사

조사는 2025년 11월 카자흐스탄의 정부 Exchange 서버에서 의심스러운 활동이 발견된 이후 시작되었습니다. 추가 분석을 통해 CerealLoader와 CerealBox와 같은 구성 요소를 포함한 모듈형 툴셋이 노출되었습니다. 추가 텔레메트리에서는 2025년 12월 루마니아 정부 조직을 표적으로 한 유사한 활동을 밝혀냈습니다.

완화

기관은 특히 관리되지 않는 진입 지점과 Vtable 수정과 같은 비정상적인 .NET 실행 행동을 모니터링해야 합니다. Microsoft Exchange 환경을 강화하고 EdgeTransport.exe 프로세스 또는 기존 전송 에이전트에 대한 무단 변화를 감지하는 것이 중요합니다. .NET 네이티브 이미지 캐시에서 예상치 못한 DLL을 감사하는 것도 지속성 메커니즘을 드러내는 데 도움이 될 수 있습니다.

대응

악성 활동이 감지되면 대응자는 영향을 받은 Exchange 서버를 격리하고 주입된 모듈을 식별하기 위한 메모리 포렌식 분석을 수행해야 합니다. CerealNeuron 통신 패턴과 관련이 있는 이상한 URL 경로에 대한 웹 트래픽을 검토하십시오. 설치된 Exchange 전송 에이전트와 시스템 수준 .NET 어셈블리에 대한 포괄적인 감사를 수행하여 무단 수정 여부를 확인하십시오.

시뮬레이션 실행

• 공격 서사 및 명령: 적군이 환경을 성공적으로 침해하고 Turla Cereal 툴셋을 배포하여 명령 및 제어(C2) 기능을 수립하려고 합니다. 기본 AV에 의해 탐지되지 않기 위해, CerealLoader 구성 요소를 실행하려고 시도합니다. 적군의 목표는 로더를 실행하여 합법적인 프로세스에 악성 DLL을 사이드 로딩하는 것입니다. 이 시뮬레이션은 정확한 커맨드 라인 인자를 사용하여 더미 프로세스를 실행함으로써 이를 모사할 것입니다. CerealLoader SOC에서 경고를 수신하는지 확인하기 위함입니다.

• 회귀 테스트 스크립트:

  # Turla Cereal 탐지 규칙을 트리거하기 위한 시뮬레이션 스크립트.
  # 이는 CerealLoader 구성 요소 실행을 모방합니다.
  
  $TargetString = "CerealLoader"
  Write-Host "[+] 시뮬레이션 시작: 커맨드 라인에 $TargetString 포함한 프로세스 실행"
  
  # 우리는 cmd.exe를 사용하여 대상 문자열을 인자에 포함하는 더미 명령을 실행합니다.
  Start-Process "cmd.exe" -ArgumentList "/c echo $TargetString 실행의 시뮬레이션" -WindowStyle Hidden
  
  Write-Host "[+] 시뮬레이션 명령 전송. SIEM에서 경고 확인."

• 정리 명령:

  # 이번 시뮬레이션 동안 영구 파일이 생성되지 않았습니다.
  # 파일이 생성된 경우, 여기에서 제거했을 것입니다.
  Write-Host "[+] 정리 완료. 제거할 아티팩트가 없습니다."