W-2에서 BYOVD까지: 세금 검색이 커널 모드 AV/EDR 킬로 이어지는 방법

요약

광범위한 악성 광고 작전은 세금 양식 검색에 연결된 Google Ads를 악용하여 가짜 ScreenConnect 설치 프로그램을 배포합니다. 해당 설치 프로그램은 다단계 크립터를 배포하고, 이는 BYOVD 유틸리티 인 HwAudKiller를 로드합니다. 이 도구는 서명된 화웨이 오디오 드라이버를 설치하고 커널 수준의 액세스를 사용하여 AV 및 EDR 프로세스를 종료합니다. 보안 제어가 비활성화되면 공격자는 LSASS 자격 증명을 덤프하고 NetExec를 사용하여 네트워크 전반에 걸쳐 자격 증명을 수집합니다. 이 활동은 기본형 악성코드 배포가 맞춤형 커널 드라이버와 결합되어 잠입 액세스, 방어 억제, 지속성을 유지할 수 있음을 강조합니다.

조사

Huntress 연구원들은 다음에서 리다이렉션 경로를 추적했습니다. anukitax.com to bringetax.com 가짜 ScreenConnect MSI 패키지의 배달을 확인했습니다. 드롭된 crypteds.exe는 회피를 위해 2 GB 메모리 할당 트릭을 사용하고 HwAudKiller를 로드하기 전 timeSetEvent를 통해 셸코드를 간접적으로 실행합니다. 해당 페이로드는 %TEMP%에 Havoc.sys를 작성하고 하드코딩된 보안 프로세스 목록을 종료하기 위해 Havoc라는 이름의 커널 서비스를 등록합니다. 두 번째 침입에서는, 공격자들이 VPN 컴프레션을 통해 액세스를 얻고 동일한 드라이버를 재사용했으며, FortiEDR 프로세스를 포함하도록 킬 목록을 확장했고, comsvcs.dll을 사용하여 LSASS를 덤프하고, NetExec를 사용하여 측면 이동을 수행했습니다.

완화

조직은 합법적인 ScreenConnect 배포를 차단하거나 엄격하게 허용 목록에 추가하고, 익숙하지 않은 시험 인스턴스 유형-* 릴레이 호스트 이름을 모니터링해야 합니다. 보안 팀은 %TEMP% 경로에서 로드된 커널 드라이버를 주시하고 Sysmon 이벤트 ID 6과 Windows 서비스 설치 활동에 대한 경고를 설정해야 합니다. C:WindowsSystemTempScreenConnect 및 %TEMP%에 기록된 파일의 엄격한 실행 제어를 수행해야 합니다. 사용자 인식 노력을 강화하여 Google Ads 검색 결과가 세금 관련 다운로드의 신뢰할 수 있는 출처가 아니라는 점을 상기시켜야 합니다.

대응

불량 ScreenConnect 설치 프로그램이 발견되면 즉시 엔드포인트를 격리하고 crypteds.exe 및 드롭된 모든 Havoc.sys 드라이버를 수집하며 Havoc 서비스를 중지하세요. 잠재적으로 손상된 계정에 대해 자격 증명 재설정 절차를 시작하고 노출된 액세스를 취소합니다. 그런 다음 추가 ScreenConnect 릴레이 연결, NetExec 실행 및 LSASS 덤핑 징후를 위해 더 넓은 환경을 스캔합니다. 마지막으로, 발견된 IOC를 내부 및 외부 위협 인텔리전스 채널과 문서화하여 공유합니다.

시뮬레이션 실행

사전 요구 사항: Telemetry 및 Baseline Pre-flight Check가 통과해야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하기 위해 고안된 적수 기술 (TTP)의 정확한 실행을 설명합니다. 명령 및 내러티브는 식별된 TTP를 직접 반영하고 탐지 논리에 기대되는 정확한 원격 검출 생성을 목표로 해야 합니다.

• 공격 내러티브 및 명령:

  1. 악성 광고를 통한 초기 접근: 피해자가 세금 양식을 검색하면서 악성 광고를 클릭하면, 드라이브 바이 다운로드가 발생하여 form_w9.msi.
  2. 불량 소프트웨어 설치: MSI는 ScreenConnect와 유사한 원격 지원 도구를 조용히 설치하고 crypteds.exe and sent.exe 디렉터리로 드롭됩니다. 디렉터리로 드롭됩니다. 자격 증명 수집:
  3. LSA Secrets를 덤프하기 위해 실행됩니다. crypteds.exe DLL 측면 로딩을 통한 Rundll32:
  4. 정적 탐지를 회피하기 위해, 공격자는 시스템 DLL 시스템 DLL 을 진입점으로 사용하는 악성 DLL을 로드합니다. 이는 내장된 페이로드를 실행합니다. 을 진입점으로 사용하는 악성 DLL을 로드합니다. 이는 내장된 페이로드를 실행합니다. 테스트 머신에서 시뮬레이션된 정확한 명령은:

  # 1. 악성 MSI 배포 (시뮬레이션) Start-Process -FilePath “C:Tempform_w9.msi” -ArgumentList “/quiet” -Wait # 2. 자격 증명 덤프 도구 실행 Start-Process -FilePath “$env:TEMPcrypteds.exe” -ArgumentList “/dump” -Wait # 3. comsvcs.dll을 사용하여 rundll32를 통해 악성 페이로드 로드 rundll32.exe “C:windowsSystem32comsvcs.dll”,LaunchApplication “$env:TEMPsent.exe”

  회귀 테스트 스크립트:

• 아래 스크립트는 위의 단계를 자동화하고 생성된 텔레메트리가 탐지 규칙 기대와 일치하는지 확인합니다. # 회귀 테스트 스크립트 – 악성 광고 캠페인 시뮬레이션 # ———————————————————– # 0. 사전 요구 사항: 명령줄 로깅이 활성화된 상태에서 Sysmon이 실행 중인지 확인하십시오. # 변수 $msiPath = “$env:TEMPform_w9.msi” $dumpTool = “$env:TEMPcrypteds.exe” $payload = “$env:TEMPsent.exe” $dllPath = “C:windowsSystem32comsvcs.dll” # 도우미: 악성 이진 파일을 모방하기 위한 더미 파일 생성 New-Item -Path $msiPath -ItemType File -Force | Out-Null New-Item -Path $dumpTool -ItemType File -Force | Out-Null New-Item -Path $payload -ItemType File -Force | Out-Null Write-Host “[*] 악성 MSI 설치 중 (시뮬레이션)…” Start-Process -FilePath “msiexec.exe” -ArgumentList “/i `”$msiPath`” /quiet” -Wait Write-Host “[*] 자격 증명 덤프 도구 실행 중…” Start-Process -FilePath $dumpTool -ArgumentList “/dump” -Wait Write-Host “[*] rundll32를 통한 DLL 측면 로딩 수행 중…” rundll32.exe “`”$dllPath`””,LaunchApplication “`”$payload`”” Write-Host “[+] 시뮬레이션 완료. SIEM을 통해 탐지 확인.”

  정리 명령:

• 더미 아티팩트를 제거하고 남아 있는 프로세스를 중지합니다. # 정리 스크립트 $paths = @(“$env:TEMPform_w9.msi”,”$env:TEMPcrypteds.exe”,”$env:TEMPsent.exe”) foreach ($p in $paths) { if (Test-Path $p) { Remove-Item -Path $p -Force } } # 테스트에서 생성된 남아 있는 rundll32 프로세스를 종료합니다. Get-Process -Name rundll32 -ErrorAction SilentlyContinue | Where-Object {$_.Path -eq “$env:SystemRootSystem32rundll32.exe”} | Stop-Process -Force

  # Cleanup Script
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # Terminate any stray rundll32 processes spawned by the test
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force