연구(Insikt)
중국 국가 지원 단체인 RedDelta, 적응형 PlugX 감염 체인으로 대만, 몽골, 동남아시아 표적화
게시일: 2025년 1월 9일
작성자: Insikt Group®
요약:
2023년 7월부터 2024년 12월까지 Insikt Group은 중국 정부가 후원하는 RedDelta라는 단체가 몽골, 대만, 미얀마, 베트남, 캄보디아를 대상으로 맞춤형 PlugX 백도어를 배포하기 위해 개조된 감염 체인을 사용하는 것을 관찰했습니다. 이 단체는 2024년 대만 대통령 후보 테리 고우(Terry Gou), 베트남 국경일, 몽골의 홍수 방지, 동남아시아국가연합(ASEAN) 회의 같은 회의 초대를 주제로 한 미끼 문서를 사용했습니다. RedDelta는 2024년 8월 몽골 국방부를, 2024년 11월 베트남 공산당을 침해했을 가능성이 높습니다. 이 단체는 베트남 공안부를 대상으로 스피어피싱을 수행했지만, Insikt Group은 성공적인 침해의 증거를 관찰하지 못했습니다. 2024년 9월부터 12월까지 RedDelta는 말레이시아, 일본, 미국, 에티오피아, 브라질, 호주, 인도에서 피해자를 대상으로 했을 가능성이 높습니다.
2023년 말, RedDelta는 스피어피싱을 통해 전달되었을 가능성이 있는 Windows 바로가기(LNK) 파일을 활용하여 감염 체인의 첫 단계를 전개했습니다. 2024년에 이 단체는 Microsoft 관리 콘솔 스냅인 제어(MSC) 파일을 사용하는 것으로 방식을 전환했습니다. 가장 최근에 RedDelta는 피해자가 Microsoft Azure에서 원격으로 호스팅된 HTML 파일을 로드하도록 유도하기 위해 스피어피싱 링크를 사용했습니다. 2023년 7월부터 RedDelta는 지속적으로 Cloudflare 콘텐츠 배포 네트워크 (CDN)를 사용하여 명령 및 제어(C2) 트래픽을 프록시로 처리해 왔습니다. 이를 통해 이 단체는 합법적인 CDN 트래픽과 섞여 피해자 식별을 복잡하게 만들고 있습니다. 러시아의 BlueAlpha를 포함한 다른 국가 지원 단체들도 탐지를 피하기 위해 Cloudflare를 유사하게 활용했습니다.
RedDelta의 활동은 동남아시아, 몽골 및 유럽의 정부 및 외교 기관에 초점을 맞춘 중국의 전략적 우선순위와 일치합니다. 2023년과 2024년에 이 단체가 아시아에 초점을 맞춘 것은 2022년에 유럽 조직을 표적으로 삼은 후 이전의 방식으로 복귀한 것을 의미합니다. RedDelta가 몽골과 대만을 겨냥한 것은 이 단체가 과거에 중국 공산당의 권력에 위협이 된다고 여겨지는 단체들을 표적으로 삼았던 것과 일치합니다.
RedDelta 정보:
RedDelta는 최소 2012년부터 활동해 왔으며 동남아시아와 몽골을 표적으로 삼는 데 중점을 두었습니다. 이 단체는 세계적인 지정학적 사건에 대응하여 표적을 일상적으로 조정해 왔습니다. RedDelta는 2021년 중국과 바티칸 간의 회담 전에 PlugX를 사용하여 바티칸 및 기타 가톨릭 조직을 표적으로 삼았습니다. 이 단체는 인도의 법 집행 기관과 정부 기관, 인도네시아의 정부 조직, 그리고 미얀마, 홍콩, 호주 전역의 다른 표적들을 침해했습니다.
2022년, 러시아의 우크라이나 침공 이후 RedDelta는 유럽 정부 및 외교 기관을 더욱 집중적으로 표적으로 삼았습니다. 이 활동에서는 스피어피싱을 통해 전달된 것으로 보이는 아카이브 파일(ZIP, RAR 또는 ISO)로 시작되는 감염 체인을 사용했습니다. 이 파일에는 이중 확장자(예: .doc.lnk)와 Microsoft Word 아이콘으로 위장된 Windows 바로 가기(LNK) 파일이 포함되어 있었습니다. 아카이브 내의 숨겨진 폴더에는 DLL(동적 링크 라이브러리) 검색 순서 탈취를 수행하는 데 사용된 세 가지 파일인 정상적인 바이너리, 악성 DLL 로더, 최종적으로 메모리에 로드된 암호화된 PlugX 페이로드가 포함되어 있었습니다. 사용자가 바로 가기 파일을 실행하면 DLL 검색 순서 탈취가 발생했습니다. 2022년 11월, RedDelta는 위협 행위자가 제어하는 도메인에 ISO 파일을 배치하기 위해 전술을 발전시켰습니다.
2023년 3월, Insikt Group은 RedDelta가 몽골을 표적으로 삼은 것을 확인했습니다. 컨테이너 파일(RAR, ZIP, ISO)로 시작하는 유사한 감염 체인을 사용했으며 여기에 포함된 LNK 파일이 숨겨진 중첩된 하위 디렉터리에 위치한 DLL 검색 순서 탈취 트라이어드를 트리거했습니다. 미끼 문서에는 세계 몽골 협회의 초청장과 티베트 불교 및 몽골에 관한 BBC 뉴스 인터뷰라고 주장하는 문서가 포함되어 있었습니다. RedDelta 표적은 다음과 같습니다.
- 내몽골 자치구에 초점을 맞춘 인권 및 민주화 비정부기구(NGO)를 포함한 복수의 몽골 NGO 회원들
- 몽골과 일본에 있는 몽골 불교 활동가들
- 몽골과 일본의 학문적 전문가
- 몽골 모바일 애플리케이션 두 개의 개발자
완화 조치:
RedDelta 활동을 탐지하고 완화하기 위해 조직은 다음을 수행해야 합니다.
- Insikt Group에서 제공한 YARA 및 Sigma 규칙을 사용하여 RedDelta Windows Installer(MSI), DLL 및 LNK 파일을 탐지합니다(아래 참조).
- 침입 탐지 시스템(IDS), 침입 방지 시스템(IPS) 및 기타 네트워크 방어 메커니즘을 구성하여 RedDelta와 관련된 외부 IP 주소 및 도메인의 연결 시도를 경고하거나 차단합니다(아래 참조).
- 소프트웨어 및 애플리케이션, 특히 운영 체제, 안티바이러스 소프트웨어 및 핵심 시스템 유틸리티를 최신 상태로 유지합니다.
- 이메일 서신을 필터링하고 첨부 파일에 멀웨어가 있는지 면밀히 조사하세요.
- 정기적으로 시스템 백업을 수행하고 오프라인 및 외부에 저장하여 네트워크를 통해 접근할 수 없도록 합니다.
- 회사 기밀 데이터의 엄격한 분리를 준수하고, 역할 기반 접근을 도입하며, 회사 전체의 데이터 접근을 제한합니다.
- 클라이언트 기반 호스트 로깅 및 침입 탐지 기능을 배포하여 공격을 조기에 식별하고 차단합니다.
- 구식 인증 방법을 비활성화하여 위협 행위자가 보안을 우회하는 것을 방지합니다.
- 탐지 소스를 수동으로 모니터링하면서 네트워크 IDS, NetFlow 수집, 호스트 로깅, 웹 프록시와 같은 도구를 구현합니다.
- 네트워크 세분화를 실천하고 민감한 정보를 보호하기 위해 다단계 인증 및 제한된 액세스와 같은 특별한 조치를 취합니다.
Recorded Future® Third-Party Intelligence 모듈 및 Threat Intelligence Browser Extension을 활용하여 실시간 모니터링과 우선순위에 따른 취약성 패치 적용을 수행하세요.
중국의 지능적이고 지속적인 위협 활동을 더 광범위하게 완화하기 위한 포괄적인 권장 사항은 공개 지침(1, 2, 3, 4) 및 Insikt Group의 “주요 글로벌 사이버 강국으로 중국의 도약 분석” 보고서를 검토하세요.
전망:
Insikt Group은 RedDelta가 맞춤형 PlugX 백도어를 사용하여 전 세계 조직을 계속해서 표적으로 삼을 것으로 예상하며, 특히 동남아시아와 몽골 및 대만을 비롯한 중국 주변 지역에 집중할 것으로 보입니다. 잠재적인 표적에는 정부, NGO, 활동가 및 종교 단체가 포함될 수 있습니다. RedDelta는 감염 체인을 지속적으로 발전시켜 왔으며, 주요 지정학적 발전에 대응하여 앞으로도 계속 진화할 것으로 예상됩니다.
전체 분석 내용을 읽으려면 여기를 클릭하여 PDF 보고서를 다운로드하세요.
부록 A — 침해 지표
|
도메인: abecopiers[.]com alicevivianny[.]com aljazddra[.]com alphadawgrecords[.]com alvinclayman[.]com antioxidantsnews[.]com armzrace[.]com artbykathrynmorin[.]com atasensors[.]com bkller[.]com bonuscuk[.]com bramjtop[.]com buyinginfo[.]org calgarycarfinancing[.]com comparetextbook[.]com conflictaslesson[.]com councilofwizards[.]com crappienews[.]com createcopilot[.]com cuanhuaanbinh[.]com dmfarmnews[.]com electrictulsa[.]com elevateecom[.]com epsross[.]com erpdown[.]com estmongolia[.]com financialextremed[.]com finasterideanswers[.]com flaworkcomp[.]com flfprlkgpppg[.]shop getfiledown[.]com getupdates[.]net glassdoog[.]org globaleyenews[.]com goclamdep[.]net goodrapp[.]com gulfesolutions[.]com hajjnewsbd[.]com hisnhershealthynhappy[.]com homeimageidea[.]com howtotopics[.]com importsmall[.]com indiinfo[.]com infotechtelecom[.]com inhller[.]com instalaymantiene[.]com iplanforamerica[.]com irprofiles[.]com itduniversity[.]com ivibers[.]com jorzineonline[.]com kelownahomerenovations[.]com kentscaffolders[.]com kerrvillehomeschoolers[.]com kxmmcdmnb[.]online lebohdc[.]com linkonmarketing[.]com loginge[.]com lokjopppkuimlpo[.]shop londonisthereason[.]com looksnews[.]com maineasce[.]com meetviberapi[.]com mexicoglobaluniversity[.]com mobilefiledownload[.]com mojhaloton[.]com mongolianshipregistrar[.]com mrytlebeachinfo[.]com myynzl[.]com newslandtoday[.]net normalverkehr[.]com nymsportsmen[.]com oncalltechnical[.]com onmnews[.]com pgfabrics[.]com pinaylizzie[.]com profilepimpz[.]com quickoffice360[.]com redactnews[.]com reformporta[.]com richwoodgrill[.]com riversidebreakingnews[.]com rpcgenetics[.]com sangkayrealnews[.]com shreyaninfotech[.]com smldatacenter[.]com spencerinfo[.]net starlightstar[.]com tasensors[.]com techoilproducts[.]com thelocaltribe[.]com tigermm[.]com tigernewsmedia[.]com tophooks[.]org truckingaccidentattorneyblog[.]com truff-evadee[.]com tychonews[.]com unixhonpo[.]com usedownload[.]com vanessalove[.]com versaillesinfo[.]com vopaklatinamerica[.]com windowsfiledownload[.]com xxmodkiufnsw[.]shop 365officemail[.]com 7gzi[.]com 추가 스테이징 도메인 https[:]//getfiledown[.]com/utdkt https[:]//versaillesinfo[.]com/brjwcabz https[:]//lifeyomi[.]com/trkziu https[:]//lebohdc[.]com/uleuodmm https[:]//cdn7s65[.]z13[.]web[.]core[.]windows[.]net https[:]//edupro4[.]z13[.]web[.]core[.]windows[.]net https[:]//elevateecom[.]com/deqcehfg https[:]//vabercoach[.]com/uenic https[:]//artbykathrynmorin[.]com/lczjnmum RedDelta 관리 서버 115.61.168[.]143 115.61.168[.]170 115.61.168[.]229 115.61.169[.]139 115.61.170[.]105 115.61.170[.]70 182.114.108[.]91 182.114.108[.]93 182.114.110[.]11 182.114.110[.]170 RedDelta C2 서버(2024년 10월~12월) 103.79.120[.]92 45.83.236[.]105 116.206.178[.]67 45.133.239[.]183 116.206.178[.]68 103.238.225[.]248 45.133.239[.]21 103.238.227[.]183 103.107.104[.]37 107.148.32[.]206 167.179.100[.]144 116.206.178[.]34 149.104.2[.]160 207.246.106[.]38 45.76.132[.]25 155.138.203[.]78 144.76.60[.]136 38.180.75[.]197 107.155.56[.]15 107.155.56[.]87 202.91.36[.]213 107.155.56[.]4 149.104.12[.]64 154.205.136[.]105 223.26.52[.]208 45.128.153[.]73 96.43.101[.]245 45.135.119[.]132 161.97.107[.]93 103.107.105[.]81 103.107.104[.]4 103.107.104[.]57 154.90.47[.]123 147.78.12[.]202 바로 가기(LNK) 파일(SHA256) a0a3eeb6973f12fe61e6e90fe5fe8e406a8e00b31b1511a0dfe9a88109d0d129 2232cd249be265d092ea923452f82aae28f965b48897fe6f05a7cd4495fcd96e aaad74fbf1b3f499aa2be9f5a86f0d6427c2d807c27532090671295a2b5d67e0 6e37ad572f1e7d228c8c0c7cb1ef2d966d16d681669587cfb80e063106d77a6e 6ac4b0fd81e317615e0935e83874ef997b7bff3aff2f391405a2e22161f4fd45 dd2d8fb565b18065bde545da16f67f31036b4d45dec5b82caa74e30a617e85e8 945f7ca6ce890f6cd1813b0ed1912ef25ed4a5f11da0fe97c20fe443bd4489a1 042045687882ec8dc2d61e26e86e56620c4a1e694b46f9ce814b060cb0cf4bb5 5479927c78faed415853c3ba3798dfff93d4047a17c3c4d87f7dc1ce8289395c d8981d4cbca9b99828a9459e4abfbbe20a221bfc59fc0f2a6d6a751c363b26c4 c6bd2c31ebaa8d51964c49a22bc796aa506e594d6f1b1043b01d0baf58836172 df3e5c62fa7086eec23c04cb52a17d64aa0b4f252551c8a65c599291a7cee61f 2c791775e66a77fe72aa826823f554bfe9a41525c6c1c14798cf56a42925db31 74f3101e869cedb3fc6608baa21f91290bb3db41c4260efe86f9aeb7279f18a1 MSC 파일(SHA256) 1cbf860e99dcd2594a9de3c616ee86c894d85145bc42e55f4fed3a31ef7c2292 (Meeting_Invitation.msc) 54549745868b27f5e533a99b3c10f29bc5504d01bd0792568f2ad1569625b1fd (240422 264-24 SOLO airfield surveys.msc) 8c9e1f17e82369d857e5bf3c41f0609b1e75fd5a4080634bc8ae7291ebe2186c (Meeting Invitation.msc) d0c4eb52ea0041cab5d9e1aea17e0fe8a588879a03415f609b195cfbd69caafc (Meeting.msc) ca0dfda9a329f5729b3ca07c6578b3b6560e7cfaeff8d988d1fe8c9ca6896da5 (Meeting invitation.msc) 6784b646378c650a86ba4fdd4baaaf608e5ecdf171c71bb7720f83965cc8c96f (Meeting.msc) 00619a5312d6957248bac777c44c0e9dd871950c6785830695c51184217a1437 (Pg 151 vv nghi le Quoc khanh 2.9.msc) eae187a91f97838dbb327b684d6a954beee49f522a829a1b51c1621218039040 (BCTT 02.9 AM Final.docx.msc) c1f27bed733c5bcf76d2e37e1f905d6c4e7abaeb0ea8975fca2d300c19c5e84f (ADSOM-Plus - Meeting Programme.msc) 397afb74746b2fe01abc63789412b38f44ceb234a278a04b85b2bb5b4e64cc8c (Meeting Invitation.msc) 49abaa2ba33af3ebde62af1979ed7a4429866f4f708e0d8e9cfffcfa7a279604 (Meeting Procedure.msc) 3e6772aca8bb8e71956349f1ea9fecda5d9b9cfa00f8cdbf846c169ab468a370 (Meeting request.msc) f0aa5a27ea01362dce9ced3685961d599e1c9203eef171b76c855a3db41f1ec6 (Шуурхай мэдээ 2024-05-27 -.msc) e81982e40ee5aaed85817343464d621179a311855ca7bcc514d70f47ed5a2c67 (Meeting Invitation.msc) MSI 파일(SHA256) 471e61015ff18349f4bf357447597a54579839336188d98d299b14cff458d132 7c741c8bcd19990140f3fa4aa95bb195929c9429fc47f95cf4ab9fad03040f7b 1efe366230043521c1f55cc049117a65acd1a29f4470446ad277f57c4f3a2feb 7a2994a6b61ee8ac668e41e622edfa7ae7e06b66d80c2a535f5822bc98058c33 364f38b48565814b576f482c1e0eb4c8d58effcd033fd45136ee00640a2b5321 d4b9f7c167bc69471baf9e18afd924cf9583b12eee0f088c98abfc55efd77617 dbe26b8c3a75f2a78e1a47e021e5ed0087dd8433a667ab8238385529239f108e 71e462aaca0f2d8c8a685756b070d017c796de6ac22021a79d922f2f182d4fb0 2d884fd8cfa585adec7407059064672d06a6f4bdc28cf4893c01262ef15ddb99 30fbf917d0a510b8dac3bacb0f4948f9d55bbfb0fa960b07f0af20ba4f18fc19 2cd4fb94268ba063b1a5eea7fe87e794fecf46c0f56c2aaa81e8c9052bb4f5f2 (Adobe-Setup.msi) 38b2852a8dfadac620351c7bea674c29cc5aa89d051fb7acfb8d550df00d4403 34e915d93b541471a9f7e747303f456732cd48c52e91ef268e32119ea8c433c0 507aa944d77806b3f24a3337729b52168808e8d469e5253cbf889cdaabb5254e 976ffe00ca06a4e3d2482815c2770086e7283025eeecad0a750001dedaa2d16a 2cd4fb94268ba063b1a5eea7fe87e794fecf46c0f56c2aaa81e8c9052bb4f5f2 c7ec098093eb08d2b36d1c37b928d716d8da021f93319a093808a7ceb3b35dc1 c2d259056163788dce3a98562bb3bcba3a57a23854104e58a8d0fe18200d690b 62adbe84f0f19e897df4e0573fc048272e0b537d5b34f811162b8526b9afaf32 (Adobe-Setup.msi) DLL 파일(SHA256) 67c23db357588489031700ea8c7dc502a6081d7d1a620c03b82a8f281aa6bde6 b6f375d8e75c438d63c8be429ab3b6608f1adcd233c0cc939082a6d7371c09bb a7735182b7f9f2c10af3f8d2d10634c344d984f6e53e7a3787e4d3d756a7a0a0 53bafcf064d421341c582d93108e84df2f0e284c2b0a4dc2deb9099aa953bf5a 7a16ba2f0d2c4f7779b67e41f8196ddc6652ca7b61607696ed154df83c8d7b9c 749d8980d80966480c85c112a10e1be3d391c1f4673977e880fa461edc2cbf18 2220a9297876d7ffb5ad8da4d35ed7b2c8746129f66056e81c4f74a6bb224fd7 3ced0837225b635f2ed63e4f72f95933d804e089a21eb8022407a74d772bb94f f1f58fda25e2a6dde9cab4faf02f7246d2a8ab2c96b4b055deea4093eee9d0e6 77f813a461b4f1f1c765d951f0bf04668d96efea72cb8ecfb594ea2e36153cf8 dc155cb86f5240c2c39c851e006e39cb33ed9b52e0633cbcdcc2164a47a93e22 5400fda058d7a13c27e9c95453634e4fee9a421023e0d4482f3eacc198caa928 367a98647dea14345e258bc01dfb77b46d1a895e91b5d088cf949de34db13f59 f1812ca5170af2401d501561d2a3036379752d22111b10f9ac570587364c82aa e1c85c49982339770189f7947b5bfeb926bc3e4e1d1c63655cb0f8cfdc82a647 f2b04c3c764c85c0bedb434b55304d26d067662cd47e620e219657a0007c9fe0 c25b3a3d7779cb89772454a756ce48ed3744cf233564d309b6f8d19bd8e26fa4 (hid.dll) 1bde2b050117d7f27e55a71b4795476decace1850587a17d6cf6fd3fc030ff1a (hid.dll) 73451742de056d3d06f7c42904651439198df449115f7adb08601b8104bec6fb (hid.dll) 651c096cf7043a01d939dff9ba58e4d69f15b2244c71b43bedb4ada8c37e8859 (msi.dll) f8c1a4c3060bc139d8ac9ad88d2632d40a96a87d58aba7862f35a396a18f42e5 (msi.dll) 288e79407daae7ae9483ef789d035d464cf878a611db453675ba1a2f6beb1a03 (FormDll.dll) ee9c935adae0d830cdc0fccd12b19c32be4f15dffcf454a9d807016ce59ff9a9 c5aa22163eb302ef72c553015ae78f1efe79e0167acad10047b0b25844087205 (hid.dll) 1a37289c70c78697b85937ae4e1e8a4cebb7972c731aceaef2813e241217f009 (hid.dll) 49c32f39d420b836a2850401c134fece4946f440c535d4813362948c2de3996f (hid.dll) 83946986b28fd8d04d59bab994cd2dc48e83b9711a8f453d8364c2ad27ea0254 (hid.dll) ade0b5cfedfa73252ec72deee7eb79e26380e2e50b47efcfe12350c9a255bb66 (hid.dll) b63f51537957572c43c26fc8e9088361978ee901df4b8e67d48843c4fb7c027b (hid.dll) 557f04c6ab6f06e11032b25bd3989209de90de898d145b2d3a56e3c9f354d884 암호화된 페이로드(DAT) (SHA256) 095855cf6c82ae662cce34294f0969ca8c9df266736105c0297d2913a9237dd1 abd5a09ec75ff36df87ece894cab441ef7f021f5bdd8ba55d00b8ed8aac03ab4 7b8dbfe66d16ad627d3864bd5d396b98a86c75aa4a3d87067a03221d73a560c1 52ba1bd4d40202c24cb896a355f094dbe0dc6e211f5ddd5b59f0c39b99203172 b02b2c0a9209f20dab4efbc458160f5a9efdb81b6474ec10bb727295a86d825a 7f382a8b19613d078e4b78b677cb7592cab7c17577638e7ecad0a4952c6f4055 aafff72a8c4ad7be37b25e3686a28a11f1d29a0acc771cac1974e17c176c5ed1 16dd782942b25aa2eb61bc7de36820444b9f55846c815e249a942b52c61be6b5 d674025113d350438a11439d56db111881de887fea41b2d168c6c2b8d8c22014 ca963057e69914d7e6c40aa7c43b393a1516f6dfdd2abfed12ddaa21fc2cfcce 96085a217f0841bae3fe77ecf60785a5cf4051748e90c818cf6160f7fd00b12e bde73773529ec32161fb8a675b50678771bf317a83f3dd8d0c47f54bdc665722 94ad60e87518ac2f655be1b0297e0109da3ef0ae733357206e3e87712c5dfba7 908ff3a80ef065ab4be1942e0d41583903f6aac02d97df6b4a92a07a633397a8 (NoteLogger.dat) a5cd617434e8d0e8ae25b961830113cba7308c2f1ff274f09247de8ed74cac4f (NoteLogger.dat) 4ac2a633904b0da3ac471776ecbaded91e1f3a5107630fafde76868cace46051 (inkformDB.dat) 75e849cc96c573fdfe0233b4d9a79c17fb4c40f15c0b6c0d847c461a30f1cbe8 d188e877066f0932440d4cd8e8e2e856d7b92d40b475b7c0f0c996b34a2847a4 (LDevice.dat) 37c7bdac64e279dc421de8f8a364db1e9fd1dcca3a6c1d33df890c1da7573e9f (LDevice.dat) 6e07e37618f57ac1930865e175d49ef1bf85aa882ffbd30538f55f64d024085b (LDevice.dat) 58a73d445f6122c921092001b132460bb6c1601dc93ecfaabe5df2bf0fef84de (LDevice.dat) 9afddc7ff0a75975748e5dc7d81eee8cd32be79ca32edfebd151a376563e7d4b (LDevice.dat) 9333cc552193cfe9122515e3d7b210de317c297f1c09da5180b3a7f006d94fe4 (LDevice.dat) 3552708726f50ee949656e66a4a10da304bae088fa1b875bfab9e182b6ec97f7 (LDevice (3).dat) 5dae5254493df246c15e52fd246855a5d0a248f36925cecee141348112776275 (officeime.dat) 합법적인 실행 파일(SHA256) b9836265c6bfa17cd5e0265f32cedb1ced3b98e85990d000dc8e1298d5d25f93 (ONENOTEM.exe) 87d0abc1c305f7ce8e98dc86712f841dd491dfda1c1fba42a70d97a84c5a9c70 (inkform.exe) d27c5d38c2f3e589105c797b6590116d3ec58ad0d2b998d2ea92af67b07c76b1 (ExcelRepairToolboxLauncher.exe) 282fc12e4f36b6e2558f5dd33320385f41e72d3a90d0d3777a31ef1ba40722d6 (LDeviceDetectionHelper.exe) 80a7ff01de553cb099452cb9fac5762caf96c0c3cd9c5ad229739da7f2a2ca72 (imecmnt.exe) HTML 파일(SHA256) 0b152012c1deab39c6ed7fe75a27168eaaec43ae025ee74d35c2fee2651b8902 0c7ee8667f48c50ea68c9ad02880f0ff141a3279bd000502038a3a187c7d1ede 파일 경로 C:\Users\Admin\AppData\Local\GkyOpucv\ C:\Users\Public\SecurityScan\ C:\Users\Public\.vsCodes\ C:\ProgramData\.vscodes\ C:\Users\< USER >\AppData\Local\MUxPOTy\ C:\ProgramData\SamsungDriver\ C:\Users\Admin\AppData\Roaming\.inkform\inkformDB.dat C:\Users\Admin\AppData\Roaming\VirtualFile\inkform.exe C:\Users\Admin\AppData\Roaming\VirtualFile\FormDll.dll C:\Users\Public\.inkform\inkformDB.dat C:\Users\Public\Intelnet\FormDll.dll C:\Users\Public\Intelnet\inkform.exe C:\Users\Public\.inkform\inkformDB.dat C:\Users\Public\SecurityScan\FormDll.dll C:\Users\Public\SecurityScan\inkform.exe C:\ProgramData\.inkform\inkformDB.dat C:\ProgramData\Intelnet\FormDll.dll C:\ProgramData\Intelnet\inkform.exe C:\Users\Admin\.inkform\inkformDB.dat C:\Users\Admin\SamsungDriver\inkform.exe C:\Users\Admin\SamsungDriver\FormDll.dll |
부록 B — Mitre ATT&CK 기법
| 전술: 기법 | ATT&CK 코드 |
| 자원 개발: 인프라 확보 — 가상 사설 서버 | T1583.003 |
| 자원 개발: 인프라 확보 — 도메인 | T1583.001 |
| 초기 액세스: 피싱 — 스피어피싱 첨부 파일 | T1566.001 |
| 초기 액세스: 피싱 — 스피어피싱 링크 | T1566.002 |
| 실행: CUser 실행 - 악성 파일 | T1204.002 |
| 실행: 명령 및 스크립팅 인터프리터 — PowerShell | T1059.001 |
| 지속성: 부팅 또는 로그온 자동 시작 실행 — 레지스트리 실행 키/시작 폴더 | T1547.001 |
| 방어 회피: 실행 흐름 탈취 — DLL 검색 순서 탈취 | T1574.001 |
| 방어 회피: 실행 가드레일 — 지오펜싱 | T1627.001 |
| 방어 회피: 파일 또는 정보 복호화/복호화 해제: 방어 회피 | T1140 |
| 방어 회피: 시스템 바이너리 프록시 실행 — MMC | T1071.001 |
| 방어 회피: 시스템 바이너리 프록시 실행 — Msiexec | T1218.007 |
| 방어 회피: 가장하기 — 합법적인 이름 또는 위치와 일치 | T1036.005 |
| 방어 회피: 가장하기 — 이중 파일 확장자 | T1036.007 |
| 검색: 시스템 정보 검색 | T1082 |
| 명령 및 제어: 암호화된 채널 — 대칭 암호화 | T1573.001 |
| 명령 및 제어: 데이터 인코딩: 표준 인코딩 | T1132.001 |
| 명령 및 제어: 웹 서비스 | T1102 |
부록 C — YARA 및 Sigma 규칙
YARA 및 Sigma 규칙은 전체 보고서(여기)에서 확인할 수 있습니다.
관련