TAG-124의 다층 TDS 인프라 및 광범위한 사용자 기반
분석 마감일: 2025년 1월 7일
참고: 이 보고서는 TAG-124가 404TDS와 관련이 없다는 사실이 발견된 후인 2025년 5월 12일에 업데이트되었습니다. TAG-124의 가칭으로서의 404TDS에 대한 모든 참조가 삭제되었습니다.
Executive Summary
Insikt Group은 Recorded Future가 추적한 트래픽 배포 시스템(TDS)에 연결된 다계층 인프라를 TAG-124로 식별했으며, 이는 LandUpdate808, KongTuke, Chaya_002로 알려진 위협 활동 클러스터와 겹칩니다. TAG-124는 침해된 WordPress 사이트 네트워크, 행위자가 통제할 가능성이 있는 페이로드 서버, 중앙 서버, 의심되는 관리 서버, 추가 패널 및 기타 요소로 구성됩니다. TAG-124의 배후에 있는 위협 행위자들은 감염된 WordPress 사이트에 포함된 URL을 정기적으로 업데이트하고, 서버를 추가하며, 탐지를 회피하기 위해 TDS 로직을 개선하고, 감염 전술을 조정하며, 최근 ClickFix 기술을 구현하는 등 높은 수준의 활동을 보여주고 있습니다.
Insikt Group은 초기 감염 체인에서 TAG-124를 사용하는 여러 위협 행위자를 식별했으며, 여기에는 Rhysida 랜섬웨어, Interlock 랜섬웨어, TA866/Asylum Ambuscade, SocGholish, D3F@CK 로더, TA582 등의 운영자가 포함됩니다. 특히 TAG-124의 공통된 사용은 전술, 도구, 암호화 동작, 랜섬 노트 테마, 코드 중복, 데이터 유출 기술의 유사성을 통해 이미 연관성이 확인된 Rhysida와 Interlock 랜섬웨어 간의 연관성을 강화합니다. Insikt Group은 TAG-124가 점점 더 정교해지고 전문화되는 사이버 범죄 생태계 내에서 지속적으로 운영되며, 그 효과를 강화하고, 추가적인 사용자와 파트너를 유치할 것으로 예측합니다.
주요 연구 결과
- Insikt Group은 TAG-124로 추적된 TDS와 연관된 다층 인프라를 식별했습니다. 이 인프라에는 침해된 WordPress 사이트 네트워크, 행위자가 통제할 가능성이 있는 페이로드 서버, 중앙 서버, 의심되는 관리 서버, 추가 패널 등이 포함됩니다.
- TAG-124와 관련된 위협 행위자는 탐지를 피하기 위해 손상된 WordPress 사이트의 URL을 정기적으로 업데이트하고, 인프라에 새로운 서버를 추가하며, TDS와 관련된 조건부 논리 및 감염 전술을 개선하는 등 매우 활발하게 활동하는 것으로 보입니다.
- 여러 위협 행위자들이 TAG-124의 서비스를 초기 감염 체인에 통합하는 것으로 평가되었으며, 여기에는 Rhysida 랜섬웨어, Interlock 랜섬웨어, TA866/Asylum Ambuscade, SocGholish, D3F@CK 로더, TA582 등의 운영자가 포함됩니다.
- Rhysida와 Interlock 랜섬웨어는 전술, 도구, 암호화 동작, 랜섬 노트 테마, 코드 중복, 데이터 유출 기술의 유사성으로 인해 서로 연관이 있어 왔지만, TAG-124의 공통된 사용은 이러한 연관성을 강화합니다.
배경
TAG-124는 LandUpdate808, KongTuke, Chaya_002와 중복되며, Rhysida 랜섬웨어, Interlock 랜섬웨어, TA866/Asylum Ambuscade, SocGholish, D3F@CK 로더, TA582 등의 운영자를 포함한 다양한 위협 행위자를 대신하여 멀웨어를 배포하는 데 사용되는 TDS입니다(1, 2, 3). TDS는 일반적으로 탐지를 회피하고 사이버 범죄 캠페인을 최적화하면서 지리적 위치나 장치 유형과 같은 매개변수를 기반으로 웹 트래픽을 분석하고 리디렉션하여 특정 방문자만 피싱 사이트, 멀웨어, 또는 익스플로잇 키트와 같은 악의적인 대상으로 유도하는 데 사용되는 시스템을 의미합니다.
보다 구체적으로 보면, TAG-124는 침해된 WordPress 웹사이트에 악성 JavaScript 코드를 주입하여 작동합니다. 방문자가 감염된 웹사이트에 접속하면 자신도 모르게 공격자가 제어하는 리소스를 로드하여 멀웨어를 다운로드하고 실행하는 작업을 수행하게 됩니다. TAG-124는 피해자를 속이기 위해 멀웨어를 필수 Google Chrome 브라우저 업데이트로 제시하는 경우가 많습니다.
최근의 변형에서 TAG-124는 ClickFix 기법을 사용하는 것으로 관찰되었습니다. 이 방법은 방문자에게 클립보드에 미리 복사된 명령을 실행하라는 대화 상자를 표시합니다. 방문자가 명령을 실행하면 멀웨어 페이로드를 다운로드하고 실행하는 다단계 프로세스가 시작됩니다.
위협 분석
TAG-124
Insikt Group은 TDS TAG-124와 관련된 다계층 인프라를 확인했습니다. 이 인프라는 침해된 WordPress 사이트 네트워크, 행위자가 통제할 가능성이 있는 페이로드 서버, 분석 당시 정확한 목적이 불분명한 중앙 서버, 의심스러운 관리 서버, 추가 관리 패널로 구성되어 있습니다. 방문자가 특정 기준을 충족하면 침해된 WordPress 웹사이트는 가짜 Google Chrome 업데이트 랜딩 페이지를 표시하며, 이는 궁극적으로 이 보고서의 TAG-124 사용자 섹션에서 설명한 것처럼 멀웨어 감염으로 이어집니다(그림 1 참조).
그림 1: TAG-124의 고수준 인프라 설정(출처: Recorded Future)
침해된 WordPress 웹사이트
TAG-124의 인프라는 광범위한 WordPress 웹사이트 네트워크로 구성되어 있습니다(부록 A 참조). 이러한 웹사이트는 산업, 주제 또는 지리적 측면에서 일관된 테마가 없는 것으로 보이며, 이는 악용을 통해 또는 인포스틸러를 통해 획득한 자격 증명을 사용하여 기회를 포착하여 손상되었을 가능성을 시사합니다.
초기 전송 과정의 1단계 WordPress 웹사이트
초기 전송 과정의 첫 번째 단계에서 침해된 웹사이트에는 일반적으로 문서 개체 모델(DOM)의 임의 위치에 비동기 속성이 있는 스크립트 태그가 포함되어 있으므로, 페이지와 병렬로 외부 JavaScript 파일을 로드하여 렌더링 지연을 방지할 수 있습니다(그림 2 참조).
그림 2: 외부 JavaScript 파일을 로드하는 데 사용되는 DOM의 스크립트 태그(출처: URLScan)
JavaScript 파일 이름은 시간이 지남에 따라 자주 변경되었으며, 초기 이름은 인식할 수 있는 패턴(예: metrics.js)을 따랐지만 더 최근의 것들은 무작위로 형식화된 것으로 보입니다(예: hpms1989.js). 파일 이름의 예를 들면 다음과 같습니다.
- 3561.js
- 365h.js
- e365r.js
- hpms1989.js
- metrics.js
- nazvanie.js
- web-analyzer.js
- web-metrics.js
- web.js
- wp-config.js
- wp.js
특히, 위협 행위자는 침해된 웹사이트의 URL을 정기적으로 업데이트하는 것으로 보입니다. 예를 들어, www[.]ecowas[.]int와 관련된 웹사이트는 JavaScript 파일을 가져오는 데 사용되는 URL을 지속적으로 변경해 왔습니다. 이 동작은 위협 행위자가 이러한 WordPress 사이트에 지속적으로 접근하며, 도메인 및 JavaScript 파일명을 포함한 URL을 자주 변경하여 탐지를 회피할 가능성이 있음을 나타냅니다.
침해된 WordPress 웹사이트의 대부분은 잘 알려지지 않은 조직과 연관된 것으로 보이지만, Insikt Group은 폴란드 테스트 및 인증 센터(www[.]pcbc[.]gov[.]pl)와 연관된 하위 도메인 및 서아프리카 국가 경제 공동체(ECOWAS)의 도메인(www[.]ecowas[.]int)을 포함하여 주목할 만한 사례를 확인했습니다. 둘 다 침해되어 TAG-124 캠페인에 이용되었습니다.
초기 전송 과정의 최종 단계 WordPress 웹사이트
완전히 확인되지는 않았지만 방문자가 특정 기준을 충족하는 경우, 침해된 WordPress 도메인은 일반적으로 가짜 Google Chrome 업데이트 랜딩 페이지를 표시합니다. 이 페이지들은 사용자에게 다운로드 버튼을 클릭하도록 유도하여, 다음과 같은 2차로 침해된 WordPress 웹사이트의 지정된 엔드포인트에서 실제 페이로드를 다운로드하도록 트리거합니다.
- /wp-admin/images/wfgth.php
- /wp-includes/pomo/update.php
- /wp-content/upgrade/update.php
- /wp-admin/images/rsggj.php
가짜 Google Chrome 업데이트 랜딩 페이지
Insikt Group은 TAG-124와 관련된 가짜 Google Chrome 업데이트 랜딩 페이지의 두 가지 변종을 발견했습니다(그림 3 참조). URLScan 제출 데이터에 따르면, 변종 1은 더 오래 활동해 왔으며 가장 이른 제출은 2024년 4월 24일에 기록되었습니다.
그림 3: 가짜 Google Chrome 업데이트 변종 1(왼쪽) 및 2(오른쪽)(출처: URLScan, URLScan)
아직 알려지지 않은 특정 조건을 충족하는 피해자만 가짜 Google Chrome 업데이트 랜딩 페이지로 리디렉션되므로 제한된 수의 도메인만 관찰되었습니다(표 1 참조). DOM에 포함된 URL, 공개 보고 또는 기타 지표를 토대로 볼 때 이러한 도메인은 TAG-124에 기인한 것일 수 있습니다. 특히, 위협 행위자들은 쿼리 매개변수에서 'referer'라는 단어를 'refferer'로 지속적으로 잘못 표기하는데, 이는 이전 보고서에서 관찰된 오타입니다.
| 도메인 | 참고 | 변종 |
| www[.]reloadinternet[.]com | www[.]netzwerkreklame[.]de에 연결됨 | 1 |
| selectmotors[.]net | www[.]netzwerkreklame[.]de에 연결됨 | 1 |
| mgssoft[.]com | www[.]netzwerkreklame[.]de에 연결됨 | 1 |
| www[.]lovebscott[.]com | sustaincharlotte[.]org에 연관됨 | 1 |
| evolverangesolutions[.]com | sustaincharlotte[.]org에 연관됨 | 1 |
| www[.]ecowas[.]int | www[.]pawrestling[.]net에 연관됨 | 1 |
| ns1[.]webasatir[.]ir | 이전에 TAG-124와 연관되었던 true-blood[.]net에 연관됨 | 2 |
| avayehazar[.]ir | true-blood[.]net에 연결됨 | 2 |
| cvqrcode[.]lpmglobalrelations[.]com | true-blood[.]net에 연결됨 | 2 |
| mktgads[.]com | true-blood[.]net에 연결됨 | 2 |
| incalzireivar[.]ro | true-blood[.]net에 연결됨 | 2 |
| gmdva[.]org | true-blood[.]net에 연결됨 | 2 |
| www[.]de[.]digitaalkantoor[.]online | true-blood[.]net에 연결됨 | 2 |
| elamoto[.]com | TAG-124와 연관이 있으며 쿼리 매개 변수에 오타가 있습니다. winworld[.]es에서 리디렉션되었으며, 이는 스페인에 본사를 둔 컴퓨터 지원 및 서비스 전문 회사인 WinWorld와 관련된 도메인입니다. | 2 |
표 1: 가짜 Google Chrome 업데이트 페이지를 호스팅하는 침해 의심 웹사이트(출처: Recorded Future)
위협 행위자가 소유했을 가능성이 있는 도메인
표 1에 나열된 도메인이 침해되었을 가능성이 있는 가운데, Insikt Group은 2개의 추가 도메인에서 호스팅되는 웹사이트에 존재하는 URL을 분석했습니다(표 2 참조). 분석에 따르면, 이러한 도메인들은 TAG-124와 연결되었을 가능성이 높습니다.
| 도메인 | 참고 | 변종 |
| update-chronne[.]com | true-blood[.]net에 포함된링크 | 1 |
| sollishealth[.]com | edveha[.]com 및 espumadesign[.]com에 대한 링크 포함, 둘 다 이전에 TAG-124와 연관이 있음 | 2 |
표 2: 시각적 유사도 검색을 통해 발견된 추가 도메인(출처: Recorded Future)
Cloudflare 뒤에서 호스팅되는 update-chronne[.]com 도메인은 Google Chrome을 직접 사칭하기 때문에 위협 행위자가 소유한 것으로 보입니다(그림 4 참조). 분석 당시 도메인은 여전히 활성 상태였고, Google 검색에 의해 인덱싱되었으며, REMCOS RAT로 식별된 Release.zip 파일을 호스팅하고 있었습니다.
그림 4: update-chronne[.]com의 Google Chrome 가짜 업데이트 랜딩 페이지 (출처: Recorded Future)
특히 피해자가 'Chrome 업데이트' 버튼을 클릭하면 웹사이트는 downloading[.]bplnetempresas[.]com으로 리디렉션되며, 이 사이트는 IP 주소 146.70.41[.]191을 세 개의 다른 포트와 결합하여 표시합니다(그림 5 참조). 이 IP 주소는 이전에 REMCOS RAT와 연관된 적이 있습니다.
그림 5: downloading[.]bplnetempresas[.]com에 표시된 의심되는 REMCOS RAT 명령 및 제어(C2) 서버 (출처: Recorded Future)
또한 해당 도메인은 moc.txt라는 파일을 호스팅했으며, Release.zip의 내용을 다운로드하고 실행하도록 설계된 PowerShell 스크립트를 포함하고 있습니다(그림 6 참조). URL은 단축된 URL인 https://wl[.]gl/25dW64을 통해 리디렉션되었습니다.
그림 6: 2024년 9월 12일 기준 https://update-chronne[.]com/moc.txt에서 호스팅된 PowerShell 스크립트(출처: URLScan)
의심되는 셸 웹사이트
update-chronne[.]com 및 downloading[.]bplnetempresas[.]com 모두 브라질 조직으로 보이는 "YSOFEL"과 관련된 웹사이트를 호스팅했습니다(그림 7 참조). 그러나 이 조직에 대한 정보를 온라인에서 찾을 수 없으므로, 가상의 단체일 가능성이 높습니다.
그림 7: 가짜 브라질 조직과 연결된 의심스러운 셸 웹사이트(출처: URLScan)
Insikt Group은 여러 다른 도메인을 식별했습니다. 그중 일부는 침해된 WordPress 웹사이트 섹션에 언급되어 있으며(예: mktgads[.]com), 다른 사이트들은 Google을 사칭하는 것으로 보입니다(예: check-googlle[.]com) (표 3 참조). 이는 해당 웹사이트가 '셸 웹사이트'로 작동하여 도메인을 오래된 것처럼 보이게 하거나 방문자가 특정 기준을 충족할 때만 콘텐츠를 표시하는 데 사용될 수 있음을 시사합니다.
| 도메인 | IP 주소 | 처음 발견 | 마지막으로 발견 | 참고 |
| challinksch[.]com | Cloudflare | 2024년 9월 5일 | 2025년 1월 5일 | AsyncRAT에 연결되고 PuTTY를 다운로드하기 위한 호스팅된 PowerShell 스크립트 |
| chalnlizt[.]org | Cloudflare | 2024년 8월 21일 | 2025년 1월 7일 | PowerShell 스크립트 호스팅 |
| check-googlle[.]com | Cloudflare | 2024년 9월 9일 | 2025년 1월 7일 | N/A |
| cihainlst[.]org | Cloudflare | 2024년 8월 21일 | 2025년 1월 7일 | N/A |
| io-suite-web[.]com | Cloudflare | 2024년 8월 14일 | 2025년 1월 7일 | N/A |
| miner-tolken[.]com | Cloudflare | 2024년 9월 6일 | 2025년 1월 7일 | N/A |
| ronnin-v2[.]com | Cloudflare | 2024년 5월 27일 | 2025년 1월 7일 | N/A |
| symdilatic[.]com | Cloudflare | 2024년 8월 20일 | 2025년 1월 7일 | N/A |
| symbieitc[.]com | Cloudflare | 2024년 8월 21일 | 2025-01-04 | N/A |
| symdlotic[.]com | Cloudflare | 2024년 8월 21일 | 2025년 1월 7일 | N/A |
| synbioltic[.]com | Cloudflare | 2024년 8월 21일 | 2025년 1월 7일 | N/A |
| symbliatc[.]com | Cloudflare | 2024년 8월 20일 | 2024년 12월 30일 | N/A |
| symbietic[.]com | Cloudflare | 2024년 8월 19일 | 2025년 1월 7일 | N/A |
| comteste[.]com | Cloudflare | 2024년 8월 19일 | 2025년 1월 7일 | N/A |
| symdilotic[.]com | Cloudflare | 2024년 8월 20일 | 2024년 12월 30일 | N/A |
| v2-rubby[.]com | Cloudflare | 2024년 5월 22일 | 2025년 1월 7일 | N/A |
표 3: 위의 가짜 브라질 조직과 연결된 의심스러운 '셸 웹사이트'에 연결된 도메인(출처: Recorded Future)
표 3의 모든 도메인이 악의적인지, 동일한 활동에 연결되어 있는지는 여전히 불확실합니다. 그러나 동일한 웹사이트의 공유 호스팅, 다른 브랜드(예: ChainList) 사칭, 감염 링크의 부분 검증으로 인해 이러한 도메인을 최소한 의심할 수는 있습니다.
TAG-124 전송 서버
TAG-124는 감염 체인의 여러 구성 요소에 침해된 WordPress 웹사이트를 활용합니다. 초기 전송의 1단계 WordPress 웹사이트 섹션에 자세히 설명된 대로, 이러한 침해된 1단계 WordPress 사이트의 DOM에 내장된 서버는 위협 행위자가 소유하고 있을 가능성이 높습니다. Insikt Group은 TAG-124 위협 행위자들과 연결되어 있으며 이들에 의해 제어될 가능성이 있는 상당한 규모의 서버 네트워크를 확인했습니다(표 4 참조).
| 도메인 | IP 주소 | 처음 발견 | 마지막으로 발견 |
| ambiwa[.]com | 45[.]61[.]136[.]9 | 2024년 12월 28일 | 2025년 1월 7일 |
| gcafin[.]com | 45[.]61[.]136[.]9 | 2024년 12월 29일 | 2025년 1월 6일 |
| discoves[.]com | 45[.]61[.]136[.]9 | 2024년 12월 26일 | 2025년 1월 6일 |
| xaides[.]com | 45[.]61[.]136[.]40 | 2025년 1월 2일 | 2025년 1월 7일 |
| usbkits[.]com | 45[.]61[.]136[.]40 | 2025년 1월 2일 | 2025년 1월 7일 |
| mirugby[.]com | 45[.]61[.]136[.]40 | 2025년 1월 2일 | 2025년 1월 7일 |
| ecrut[.]com | 45[.]61[.]136[.]41 | 2025년 1월 6일 | 2025년 1월 7일 |
| pursyst[.]com | 45[.]61[.]136[.]41 | 2025년 1월 6일 | 2025년 1월 7일 |
| pushcg[.]com | 45[.]61[.]136[.]67 | 2024년 9월 18일 | 2025년 1월 7일 |
| piedsmontlaw[.]com | 45[.]61[.]136[.]67 | 2022년 12월 22일 | 2025년 1월 6일 |
| pemalite[.]com | 45[.]61[.]136[.]67 | 2022년 12월 22일 | 2025년 1월 7일 |
| howmanychairs[.]com | 45[.]61[.]136[.]67 | 2024년 3월 14일 | 2025년 1월 6일 |
| calbbs[.]com | 45[.]61[.]136[.]89 | 2024년 12월 18일 | 2025년 1월 7일 |
| habfan[.]com | 45[.]61[.]136[.]132 | 2024년 12월 7일 | 2025년 1월 7일 |
| iognews[.]com | 45[.]61[.]136[.]132 | 2024년 12월 6일 | 2025년 1월 7일 |
| safigdata[.]com | 45[.]61[.]136[.]196 | 2024년 11월 19일 | 2025년 1월 7일 |
| nyciot[.]com | 45[.]61[.]136[.]196 | 2024년 11월 20일 | 2025년 1월 7일 |
| pweobmxdlboi[.]com | 64[.]7[.]198[.]66 | 2024년 8월 27일 | 2025년 1월 7일 |
| boneyn[.]com | 64[.]94[.]85[.]98 | 2024년 12월 22일 | 2025년 1월 7일 |
| satpr[.]com | 64[.]94[.]85[.]98 | 2024년 12월 22일 | 2025년 1월 7일 |
| coeshor[.]com | 64[.]94[.]85[.]248 | 2024년 12월 6일 | 2025년 1월 7일 |
| mtclibraries[.]com | 64[.]94[.]85[.]248 | 2024년 12월 11일 | 2025년 1월 7일 |
| sdrce[.]com | 64[.]95[.]11[.]65 | 2024년 12월 13일 | 2025년 1월 7일 |
| theinb[.]com | 64[.]95[.]11[.]65 | 2024년 12월 13일 | 2025년 1월 7일 |
| elizgallery[.]com | 64[.]95[.]11[.]184 | 2024년 11월 20일 | 2025년 1월 7일 |
| enethost[.]com | 64[.]95[.]12[.]38 | 2024년 12월 26일 | 2025년 1월 7일 |
| dhusch[.]com | 64[.]95[.]12[.]38 | 2024년 12월 24일 | 2025년 1월 7일 |
| fastard[.]com | 64[.]95[.]12[.]38 | 2024년 12월 25일 | 2025년 1월 7일 |
| franklinida[.]com | 64[.]95[.]12[.]98 | 2024년 10월 18일 | 2025년 1월 7일 |
| nastictac[.]com | 64[.]190[.]113[.]41 | 2024년 11월 25일 | 2025년 1월 7일 |
| dncoding[.]com | 64[.]190[.]113[.]41 | 2024년 11월 26일 | 2025년 1월 7일 |
| djnito[.]com | 64[.]190[.]113[.]111 | 2024년 12월 11일 | 2025년 1월 7일 |
| opgears[.]com | 64[.]190[.]113[.]111 | 2024년 12월 11일 | 2025년 1월 7일 |
| tickerwell[.]com | 162[.]33[.]177[.]36 | 2024년 11월 19일 | 2025년 1월 7일 |
| selmanc[.]com | 162[.]33[.]177[.]82 | 2024년 12월 16일 | 2025년 1월 7일 |
| tibetin[.]com | 162[.]33[.]177[.]82 | 2024년 12월 16일 | 2025년 1월 7일 |
| mercro[.]com | 162[.]33[.]178[.]59 | 2024년 10월 31일 | 2025년 1월 7일 |
| esaleerugs[.]com | 162[.]33[.]178[.]63 | 2024년 11월 22일 | 2025년 1월 7일 |
| tayakay[.]com | 162[.]33[.]178[.]75 | 2024년 11월 15일 | 2024년 11월 15일 |
| ilsotto[.]com | 162[.]33[.]178[.]113 | 2024년 11월 23일 | 2025년 1월 7일 |
| chewels[.]com | 193[.]149[.]176[.]179 | 2024년 12월 5일 | 2025년 1월 7일 |
| sokrpro[.]com | 193[.]149[.]176[.]223 | 2024년 12월 20일 | 2025년 1월 7일 |
| hdtele[.]com | 193[.]149[.]176[.]223 | 2024년 12월 20일 | 2025년 1월 7일 |
| chhimi[.]com | 193[.]149[.]176[.]248 | 2024년 8월 15일 | 2025년 1월 7일 |
| dechromo[.]com | 216[.]245[.]184[.]179 | 2024년 12월 9일 | 2025년 1월 7일 |
| enerjjoy[.]com | 216[.]245[.]184[.]179 | 2024년 12월 9일 | 2025년 1월 7일 |
| dsassoc[.]com | 216[.]245[.]184[.]179 | 2024년 12월 18일 | 2025년 1월 7일 |
| gwcomics[.]com | 216[.]245[.]184[.]210 | 2024년 12월 19일 | 2025년 1월 7일 |
| genhil[.]com | 216[.]245[.]184[.]225 | 2024년 11월 18일 | 2025년 1월 7일 |
| vicrin[.]com | 216[.]245[.]184[.]225 | 2024년 11월 5일 | 2025년 1월 7일 |
| eliztalks[.]com | 216[.]245[.]184[.]225 | 2024년 11월 16일 | 2025년 1월 7일 |
| rshank[.]com | 216[.]245[.]184[.]225 | 2024년 11월 13일 | 2025년 1월 6일 |
표 4: 위협 행위자가 제어할 가능성이 있는 TAG-124 전송 서버(출처: Recorded Future)
대부분의 도메인은 2024년 11월에 확인되기 시작했으며, 이는 이 기간에 TAG-124가 탄력을 받았고 분석 시점에 대부분의 도메인이 여전히 활성 상태였음을 나타냅니다. 주목할 만한 점은 45[.]61[.]136[.]67에서 호스팅되는 2개의 도메인인 piedsmontlaw[.]com 및 pemalite[.]com이 2022년에 이미 이 IP 주소로 해석되었으며, 이는 이 기간에 서버가 위협 행위자의 통제하에 있었을 가능성을 나타냅니다.
의심되는 상위 계층 인프라
TAG-124 전송 서버 섹션에 나열된 대로 위협 행위자가 제어하는 것으로 의심되는 대부분의 TAG-124 전송 서버가 TCP 포트 443을 통해 서버와 통신하는 것으로 관찰되었습니다(그림 1 참조). 이 서버의 구성은 전송 서버의 구성과 유사하며, 접속 시 일반 HTML 페이지만 반환하는 도메인을 호스팅합니다. 분석 당시 Insikt Group은 이 서버의 정확한 목적을 파악할 수 없었지만, 운영의 중심 역할을 하는 것으로 추정하고 있습니다. 하나의 가능성은 TDS의 핵심 로직이 포함되어 있을 수 있다는 것입니다.
추가로 Insikt Group은 TAG-124와 연결된 의심스러운 관리 서버를 식별했습니다. 이 서버가 TCP 포트 80 및 443을 통해 전송 서버와 통신하는 것이 관찰되었습니다. 또한 TAG-124와 연결된 다른 패널인 'Ads Panel'과도 상호 작용했습니다. 이 패널의 목적은 지정된 엔드포인트를 통해 최신 전송 서버를 제공하는 것을 포함합니다(그림 1 참조).
부록 A — 침해 지표
| TAG-124에 의해 사용된 잠재적으로 침해된 WordPress 도메인: 1stproducts[.]com 3hti[.]com academictutoringcenters[.]com adpages[.]com adsbicloud[.]com advanceair[.]net airbluefootgear[.]com airinnovations[.]com allaces[.]com[.]au alumni[.]clemson[.]edu ambir[.]com americanreloading[.]com antiagewellness[.]com architectureandgovernance[.]com astromachineworks[.]com athsvic[.]org[.]au baseball[.]razzball[.]com bastillefestival[.]com[.]au bigfoot99[.]com blacksportsonline[.]com blog[.]contentstudio[.]io bluefrogplumbing[.]com canadamotoguide[.]com canadanickel[.]com capecinema[.]org careers[.]bms[.]com careers[.]fortive[.]com castellodelpoggio[.]com catholiccharities[.]org chamonixskipasses[.]com changemh[.]org chicklitplus[.]com clmfireproofing[.]com comingoutcovenant[.]com complete-physio[.]co[.]uk complete-pilates[.]co[.]uk conical-fermenter[.]com cssp[.]org deathtotheworld[.]com deerfield[.]com denhamlawoffice[.]com dev[.]azliver[.]com development[.]3hti[.]com digimind[.]nl dotnetreport[.]com drcolbert[.]com dzyne[.]com earthboundfarm[.]com eivcapital[.]com elitetournaments[.]com ergos[.]com esfna[.]org espumadesign[.]com exceptionalindividuals[.]com experiencebrightwater[.]ca firstpresbyterianpaulding[.]com fractalerts[.]com fusionstone[.]ca global-engage[.]com gobrightwing[.]com gov2x[.]com hksusa[.]com hmgcreative[.]com hmh[.]org hoodcontainer[.]com hospitalnews[.]com housingforhouston[.]com houstonmaritime[.]org hrsoft[.]com hungryman[.]com icmcontrols[.]com ijmtolldiv[.]com innsbrook[.]com jewelryexchange[.]com jodymassagetherapyclinic[.]com joelbieber[.]com knewhealth[.]com lamaisonquilting[.]com legacy[.]orlandparkprayercenter[.]org levyso[.]com luxlifemiamiblog[.]com magnoliagreen[.]com magnotics[.]com manawatunz[.]co[.]nz mantonpushrods[.]com michiganchronicle[.]com michigantownships[.]org monlamdesigns[.]com montessoriwest[.]com movinbed[.]com my[.]networknuts[.]net myrtlebeachgolf[.]com ncma[.]org oglethorpe[.]edu oningroup[.]com orlandparkprayercenter[.]org outdoornativitystore[.]com parksaverscom[.]kinsta[.]cloud peoria[.]org peridotdentalcare[.]ca phfi[.]org pikapp[.]org powerlineblog[.]com prek4sa[.]com psafetysolutions[.]com puntademita-rentals[.]com resf[.]com retaildatallc[.]com rhodenroofing[.]com rm-arquisign[.]com rvthereyet[.]com schroederindustries[.]com sec-group[.]co[.]uk sixpoint[.]com slotomoons[.]com sollishealth[.]com sparkcarwash[.]com spectralogic[.]com sramanamitra[.]com stg-seatrail-staging[.]kinsta[.]cloud stg-townandcountryplanningassoci-staging[.]kinsta[.]cloud sustaincharlotte[.]org teamtoc[.]com terryrossplumbing[.]com theawningcompanc[.]mrmarketing[.]us theepicentre[.]com theyard[.]com tristatecr[.]com true-blood[.]net turtl[.]co tustinhistory[.]com tysonmutrux[.]com uk[.]pattern[.]com unsolved[.]com vanillajoy[.]ykv[.]ijh[.]mybluehost[.]me vectare[.]co[.]uk villageladies[.]co[.]uk walkerroofingandconstruction[.]com wildwestguns[.]com wildwoodpress[.]org wlplastics[.]com worldorphans[.]org www[.]211cny[.]com www[.]6connex[.]com www[.]900biscaynebaymiamicondos[.]com www[.]accentawnings[.]com www[.]acvillage[.]net www[.]airandheatspecialistsnj[.]com www[.]als-mnd[.]org www[.]americancraftbeer[.]com www[.]anoretaresort[.]com www[.]architectureandgovernance[.]com www[.]atlantaparent[.]com www[.]atlas-sp[.]com www[.]atmosera[.]com www[.]belvoirfarm[.]co[.]uk www[.]betterengineering[.]com www[.]bluefoxcasino[.]com www[.]boatclubtrafalgar[.]com www[.]bordgaisenergytheatre[.]ie www[.]brandamos[.]com www[.]cairnha[.]com www[.]cdhcpa[.]com www[.]cds[.]coop www[.]cgimgolf[.]com www[.]cheericca[.]org www[.]conwire[.]com www[.]cssp[.]org www[.]dces[.]com www[.]disabilityscot[.]org[.]uk www[.]doctorkiltz[.]com www[.]drivenbyboredom[.]com www[.]ecowas[.]int www[.]evercoat[.]com www[.]facefoundrie[.]com www[.]foxcorphousing[.]com www[.]genderconfirmation[.]com www[.]gofreight[.]com www[.]gunnerroofing[.]com www[.]hayeshvacllc[.]com www[.]hksusa[.]com www[.]hollingsworth-vose[.]com www[.]hollywoodburbankairport[.]com www[.]hopechc[.]org www[.]icmcontrols[.]com www[.]inboundlogistics[.]com www[.]infra-metals[.]com www[.]jasperpim[.]com www[.]koimoi[.]com www[.]louisvillemechanical[.]com www[.]lsbn[.]state[.]la[.]us www[.]mallorcantonic[.]com www[.]marketlist[.]com www[.]mocanyc[.]org www[.]motherwellfc[.]co[.]uk www[.]murphyoilcorp[.]com www[.]myrtlebeachgolfpackages[.]co www[.]napcis[.]org www[.]nelsongonzalez[.]com www[.]netzwerkreklame[.]de www[.]onthegreenmagazine[.]com www[.]orthodontie-laurentides[.]com www[.]pamelasandalldesign[.]com www[.]parajohn[.]com www[.]parksavers[.]com www[.]parmacalcio1913[.]com www[.]patio-supply[.]com www[.]pcbc[.]gov[.]pl www[.]perfectduluthday[.]com www[.]powerlineblog[.]com www[.]progarm[.]com www[.]rafilawfirm[.]com www[.]reddiseals[.]com www[.]riaa[.]com www[.]robertomalca[.]com www[.]sevenacres[.]org www[.]sigmathermal[.]com www[.]sisdisinfestazioni[.]it www[.]spectralink[.]com www[.]sramanamitra[.]com www[.]sunkissedindecember[.]com www[.]sweetstreet[.]com www[.]system-scale[.]com www[.]tcpa[.]org[.]uk www[.]thatcompany[.]com www[.]the-kaisers[.]de www[.]thecreativemom[.]com www[.]thedesignsheppard[.]com www[.]therialtoreport[.]com www[.]thetrafalgargroup[.]co[.]uk www[.]thetruthaboutguns[.]com www[.]totem[.]tech www[.]ultrasound-guided-injections[.]co[.]uk www[.]urbis-realestate[.]com www[.]vending[.]com www[.]venetiannj[.]com www[.]visitarundel[.]co[.]uk www[.]wefinanceanycar[.]com www[.]wilsonsd[.]org www[.]wilymanager[.]com www[.]wvwc[.]edu zerocap[.]com 가짜 Google Chrome 업데이트 페이지를 표시하는 침해 의심 웹사이트: avayehazar[.]ir cvqrcode[.]lpmglobalrelations[.]com elamoto[.]com evolverangesolutions[.]com gmdva[.]org incalzireivar[.]ro mgssoft[.]com mktgads[.]com ns1[.]webasatir[.]ir selectmotors[.]net sollishealth[.]com update-chronne[.]com www[.]de[.]digitaalkantoor[.]online www[.]ecowas[.]int www[.]lovebscott[.]com www[.]reloadinternet[.]com TAG-124 도메인: ambiwa[.]com boneyn[.]com calbbs[.]com chewels[.]com chhimi[.]com coeshor[.]com dechromo[.]com dhusch[.]com discoves[.]com djnito[.]com dncoding[.]com dsassoc[.]com ecrut[.]com elizgallery[.]com eliztalks[.]com enerjjoy[.]com enethost[.]com esaleerugs[.]com fastard[.]com franklinida[.]com gcafin[.]com genhil[.]com gwcomics[.]com habfan[.]com hdtele[.]com howmanychairs[.]com ilsotto[.]com iognews[.]com mercro[.]com mirugby[.]com mtclibraries[.]com nastictac[.]com nyciot[.]com opgears[.]com pemalite[.]com piedsmontlaw[.]com pursyst[.]com pushcg[.]com pweobmxdlboi[.]com rshank[.]com safigdata[.]com satpr[.]com sdrce[.]com selmanc[.]com sokrpro[.]com tayakay[.]com theinb[.]com tibetin[.]com tickerwell[.]com usbkits[.]com vicrin[.]com xaides[.]com TAG-124 IP 주소: 45[.]61[.]136[.]9 45[.]61[.]136[.]40 45[.]61[.]136[.]41 45[.]61[.]136[.]67 45[.]61[.]136[.]89 45[.]61[.]136[.]132 45[.]61[.]136[.]196 64[.]7[.]198[.]66 64[.]94[.]85[.]98 64[.]94[.]85[.]248 64[.]95[.]11[.]65 64[.]95[.]11[.]184 64[.]95[.]12[.]38 64[.]95[.]12[.]98 64[.]190[.]113[.]41 64[.]190[.]113[.]111 162[.]33[.]177[.]36 162[.]33[.]177[.]82 162[.]33[.]178[.]59 162[.]33[.]178[.]63 162[.]33[.]178[.]75 162[.]33[.]178[.]113 193[.]149[.]176[.]179 193[.]149[.]176[.]223 193[.]149[.]176[.]248 216[.]245[.]184[.]179 216[.]245[.]184[.]210 216[.]245[.]184[.]225 TAG-124 활동에서 관찰된 추가 도메인: winworld[.]es true-blood[.]net Matomo 인스턴스: dating2go[.]store apple-online[.]shop에 연결되었을 가능성이 있는 도메인: micronsoftwares[.]com mysamsung7[.]shop nvidias[.]shop expressbuycomputers[.]shop amdradeon[.]shop mobileyas[.]shop cryptotap[.]site REMCOS RAT C2 IP 주소: 146.70.41[.]191 TA582 및 MintsLoader 클러스터에 연결되었을 가능성이 있는 도메인: 527newagain[.]top abhbdiiaehdejgh[.]top adednihknaalilg[.]top anjmhjidinfmlci[.]top azure-getrequest[.]icu azurearc-cdn[.]top azuregetrequest[.]icu bkkeiekjfcdaaen[.]top cignjjgmdnbchhc[.]top ckebfjgimhmjgmb[.]top cljhkcjfimibhci[.]top cmcebigeiajbfcb[.]top cmcuauec[.]top cryptoslate[.]cc eebchjechginddk[.]top ehnediemcaffbij[.]top ejlhaidjmhcmami[.]top faybzuy3byz2v[.]top fpziviec[.]top futnbuzj3nh[.]top gbkffjcglabkmne[.]top gdihcicdghmcldd[.]top get-azurecommand[.]icu get-iwrreq[.]top getazurecommand[.]icu gnmdjjckbgddaie[.]top gubyzywey6b[.]top iadkainhkafngnk[.]top ikhgijabfnkajem[.]top ikjfjkkagafbdke[.]top imfiejalbhhgijl[.]top kffgkjmjangegkg[.]top khcjgjmfjgdleag[.]top kjalcimbfaaddff[.]top mcajijknegnbbga[.]top melmejkjaakiakn[.]top mgjabikgjhhambm[.]top pretoria24[.]top rifiziec[.]top riuzvi4tc[.]top robnzuwubz[.]top saighbuzu32uvv[.]top PyInstaller 해시: 7683d38c024d0f203b374a87b7d43cc38590d63adb8e5f24dff7526f5955b15a 950f1f8d94010b636cb98be774970116d98908cd4c45fbb773e533560a4beea7 7f8e9d7c986cc45a78c0ad2f11f28d61a4b2dc948c62b10747991cb33ce0e241 CleanUpLoader 로더 해시: 183c57d9af82964bfbb06fbb0690140d3f367d46d870e290e2583659609b19f2 22dc96b3b8ee42096c66ab08e255adce45e5e09a284cbe40d64e83e812d1b910 9d508074a830473bf1dee096b02a25310fa7929510b880a5875d3c316617dd50 28c49af7c95ab41989409d2c7f98e8f8053e5ca5f7a02b2a11ad4374085ec6ff 2da62d1841a6763f279c481e420047a108da21cd5e16eae31661e6fd5d1b25d7 342b889d1d8c81b1ba27fe84dec2ca375ed04889a876850c48d2b3579fbac206 42c1550b035353ae529e98304f89bf6065647833e582d08f0228185b493d0022 42d7135378ed8484a6a86a322ea427765f2e4ad37ee6449691b39314b5925a27 430fd4d18d22d0704db1c4a1037d8e1664bfc003c244650cb7538dbe7c3be63e 43f4ca1c7474c0476a42d937dc4af01c8ccfc20331baa0465ac0f3408f52b2e2 46aac6bf94551c259b4963157e75073cb211310e2afab7a1c0eded8a175d0a28 4fa213970fdef39d2506a1bd4f05a7ceee191d916b44b574022a768356951a23 57e9e1e3ebd78d4878d7bb69e9a2b0d0673245a87eb56cf861c7c548c4e7b457 6464cdbfddd98f3bf6301f2bf525ad3642fb18b434310ec731de08c79e933b3e 67b5b54c85e7590d81a404d6c7ea7dd90d4bc773785c83b85bcce82cead60c37 700f1afeb67c105760a9086b0345cb477737ab62616fd83add3f7adf9016c5e5 77dc705cecbc29089c8e9eea3335ba83de57a17ed99b0286b3d9301953a84eca 7b8d4b1ab46f9ad4ef2fd97d526e936186503ecde745f5a9ab9f88397678bc96 7ea83cca00623a8fdb6c2d6268fa0d5c4e50dbb67ab190d188b8033d884e4b75 8d911ef72bdb4ec5b99b7548c0c89ffc8639068834a5e2b684c9d78504550927 92d2488e401d24a4bfc1598d813bc53af5c225769efedf0c7e5e4083623f4486 941fa9119eb1413fdd4f05333e285c49935280cc85f167fb31627012ef71a6b3 95b9c9bf8fa3874ad9e6204f408ce162cd4ae7a8253e69c3c493188cb9d1f4da 97105ed172e5202bc219d99980ebbd01c3dfd7cd5f5ac29ca96c5a09caa8af67 9d508074a830473bf1dee096b02a25310fa7929510b880a5875d3c316617dd50 의심되는 MintsLoader: d738eef8756a03a516b02bbab0f1b06ea240efc151f00c05ec962d392cfddb93 77bd80e2a7c56eb37a33c2a0518a27deb709068fdc66bd1e00b5d958a25c7ad8 ccdf82b45b2ee9173c27981c51958e44dee43131edfbce983b6a5c146479ac33 |
부록 B — Mitre ATT&CK 기법
| 전술: 기법 | ATT&CK 코드 |
| 리소스 개발:인프라 확보: 도메인 | T1583.001 |
| 리소스 개발:인프라 확보: 가상 사설 서버 | T1583.003 |
| 리소스 개발:인프라 확보: 서버 | T1583.004 |
| 리소스 개발:인프라 침해: 도메인 | T1584.001 |
| 리소스 개발:역량 개발: 멀웨어 | T1587.001 |
| 초기 액세스:단계적 기능: 드라이브 바이 공격 | T1608.004 |
| 방어 회피:가장 | T1656 |
관련