템플릿 인젝션 공격 파트 3: 북한까지 미끼를 따라가다

핵심 요약

2022년 10월, Menlo Labs 연구팀은 은폐된 템플릿 인젝션 문서의 세부 사항을 게시했습니다. 이 문서는 10진수 IP 주소를 포함하거나 암호화된 URL 형식을 사용하여 원격으로 호스팅되는 템플릿을 가져옵니다. 이 기사는 무기화된 템플릿 인젝션 공격이 어떻게 작동하고 어떻게 예방할 수 있는지에 대한 게시물을 따른 것입니다. 무기화된 문서는 RTF 익스플로잇 템플릿을 사용하여 FormBook, Snake Keylogger, SmokeLoader와 같은 악성 소프트웨어를 전달했습니다.

무기화된 문서 공격에서 사용된 TTP가 동일한 특성을 가지고 있기 때문에, IOC를 심층 분석하여 데이터 포인트를 단일 위협 행위자에게 지문 및 속성화했습니다. 공격의 속성화와 발견된 데이터 포인트의 추적을 기반으로, 위협 행위자가 북한에서 운영되고 있으며 Lazarus 그룹과 관련이 있을 것으로 확신합니다.

공격과 속성의 역사

분석 과정에서 북한 위협 행위자들이 이전 블로그에서 언급된 IOC에서 본 것과 비슷한 TTP를 사용한 것을 확인했습니다.

2020년 Fortinet의 기사에서 북한 위협 행위자들이 Covid-19에 대한 한국의 대응에 관한 친절한 단어 문서를 이용하여 피해자들을 BabyShark 악성 소프트웨어를 다운로드하도록 속이는 악성 매크로를 사용했다고 밝혔습니다. 북한 위협 행위자들은 FedEx를 속여 악성 이메일을 보내고, 실제로 실행 가능한 LokiBot이 kbfvzoboss[.]bid/alien/fre.php로 데이터를 추출하는 PDF를 열도록 독자들을 격려했습니다. 이 IOC는 2018년부터 비슷한 공격에서 LokiBot이 사용한 것을 볼 수 있습니다.

연구 과정에서 Joe Sandbox에서 아래 샘플을 발견했습니다. 신기하게도 북한이 리소스 언어로 표시되어 있으며, 위에서 언급한 LokiBot URL과 유사한 URL구조를 포함하고 있습니다: http[://]sempersim[.]su/gj8/fre.php. 이 샘플은 이전에 언급한 두 블로그에서 분석한 것과 관련이 있습니다(악성 템플릿이 다운로드하는 감염 체인의 2차 악성 소프트웨어입니다). 우리는 많은 악성 문서들이 소수의 2차 악성 소프트웨어만 다운로드하는 경향이 있다는 것을 알아차렸습니다.

악성 문서 내부에서는 이전 Menlo Labs 블로그의 템플릿 인젝션 공격에 대한 두 가지 분석에서 모두 57개 샘플에 반복되는 메타데이터를 확인했습니다.

메타데이터가 일치하는 동안, 일부 샘플은 기간으로 가려진 URL을 사용했고 다른 일부는 사용하지 않았습니다. 분석한 모든 샘플은 템플릿 인젝션 TTP를 사용하고 CVE-2017-0199를 악용했습니다.

북한 APT인 BlueNoroff에서 사용된 비슷한 TTP가 관찰되었습니다. 이는 현재 암호화폐 회사를 겨냥하는 데 초점을 맞추고 있습니다. SnatchCrypto 캠페인을 통해 BlueNoroff는 성공적인 암호화폐 스타트업을 추적하고 연구한 다음, 비즈니스 커뮤니케이션에서의 신뢰를 악용합니다. 침투팀은 개인 간의 상호 작용을 이해하기 위해 관심 주제를 파악하는 지도를 작성합니다. 이를 통해 완전히 정상적인 상호 작용처럼 보이는 고품질 사회 공학 공격을 감행할 수 있습니다. BlueNoroff는 필요한 사람들과 그들이 특정 시간에 논의하고 있는 주제를 정확하게 파악하여 기업을 침해합니다. 이를 통해 위협이 레이더 아래에서 날아가고 의심을 불러일으키지 않게 됩니다.

이러한 신뢰를 조작함으로써 BlueNoroff는 정규 매크로 활성화 문서나 이전의 악용 프로그램에 의존할 수 있습니다. 그들이 고수하는 하나의 악용 프로그램은 CVE-2017-0199입니다. 이 취약점은 처음에 무기화된 문서에 연결된 원격 스크립트의 자동 실행을 허용했습니다. 이 공격은 문서 메타 파일 내에 포함된 URL을 통해 원격 콘텐츠를 가져오는 데 의존합니다. 문서는 다른 매크로 활성화 문서인 원격 템플릿을 가져옵니다. 첫 번째 문서에는 이미지 데이터로 선언된 두 개의 Base64 인코딩된 바이너리 객체(32비트 및 64비트 Windows용)가 포함되어 있습니다. 두 번째 문서(원격 템플릿)에는 이러한 객체 중 하나를 추출한 다음 새 프로세스(notepad.exe)를 생성하여 바이너리 코드를 주입하고 실행하는 VBA 매크로가 포함되어 있습니다. VBA 매크로는 바이너리 객체와 원래 문서의 원격 템플릿 참조를 제거하고 동일한 파일에 저장하여 문서를 실질적으로 무장 해제합니다.

비슷한 TTP

비슷한 TTP를 사용한 다른 별개의 악성 캠페인에서 북한은 구인 업체로 보이는 악성 이메일을 사용했습니다. 악성 이메일 안에는 더 악성인 문서가 포함되어 있으며, 앞서 언급한 다른 샘플들처럼 CVE-2017-0199를 악용합니다. 이 문서는 피해자의 정보를 훔치는 악성 DLL을 실행하며, 그런 다음 네 개의 명령 및 제어 서버(C2) 중 하나로 전송됩니다. 추출된 데이터는 압축되고, XOR 암호화되며, 그 다음 Base64로 인코딩되어 C2 서버로 전송됩니다.

위의 악성 프로그램이 데이터를 추출할 도메인 중 하나는 shopandtravelusa[.]com입니다. 웹메일 로그인을 호스팅하여 피싱 사이트일 가능성이 있습니다. 이것은 이것이 사용되고 있는 동안 다중 사용 C2였을 수 있음을 시사합니다.

이것이 실제로 피싱 사이트였다면, 북한이 사용한 첫 번째 것은 아니었습니다.

2022년 6월 27일, 트위터 사용자 “Phantom XSec“은 남한의 “탈북자”를 겨냥한 북한 피싱 사이트(naver[.]challengedrive[.]42web.io)를 보고했습니다. 링크에는 Base64로 인코딩된 Google 드라이브 URL과 피해자 이메일이 포함되어 있습니다.

사이트는 악성 문서를 다운로드하기 전에 본인 확인을 요구합니다. 이 문서는 Google 드라이브 링크에 호스팅되어 있습니다. 이것은 북한의 일반적인 TTP입니다. Google 드라이브 링크 분석은 다음 정보를 제공하였습니다:

결론

북한의 위협 행위자 활동은 오래된 악성 인프라의 반복적인 재사용으로 잘 알려져 있습니다. TTP에서 변화를 예상하지 않습니다. 새로운 악성 소프트웨어와 인프라가 그들의 무기고에 추가될 수는 있지만, TTP의 지속적인 중복은 분석가들이 이 악명 높은 국가의 사이버 위협을 계속 지켜볼 수 있도록 합니다.

IOCs