Airstalk Malware

새롭게 발견된 악성코드군은 의심스러운 국가 기반 클러스터(CL-STA-1009로 지정됨)에서 유래되었으며, 공급망 침입과 유사한 방식으로 유포되고 있습니다. Airstalk라는 이름의 이 악성코드는 엔터프라이즈 모바일 기기 관리(MDM) 인프라를 활용하여 명령 및 제어(C2) 트래픽을 은폐하고 손상된 호스트에서 브라우저 아티팩트 및 기타 중요 데이터를 유출합니다.

위협이 어떻게 눈에 띄지 않게 숨어 있는가

Airstalk는 AirWatch API(현재 Workspace ONE Unified Endpoint Management)를 은밀한 C2 채널로 재활용합니다. 이 맬웨어는 정상적인 기기 관리에 API를 사용하는 대신, 사용자 지정 기기 속성과 파일 업로드(BLOB) 기능을 활용하여 운영자와 메시지를 교환합니다. 이를 통해 MDM 엔드포인트를 공격자 통신 및 대용량 데이터 업로드를 위한 데드드랍 리졸버로 효과적으로 전환합니다.

두 가지 구현: PowerShell 대 .NET

PowerShell 백도어와 기능이 더 풍부한 .NET 변종, 두 가지 뚜렷한 빌드가 관찰되었습니다. 두 빌드 모두 다중 스레드 C2 프로토콜을 구현하고 스크린샷 캡처, 쿠키, 검색 기록, 북마크 수집과 같은 데이터 유출 작업을 지원합니다. 증거에 따르면 일부 아티팩트는 연구원들이 도난당했을 가능성이 높다고 판단하는 인증서로 서명된 것으로 보입니다.

PowerShell 변형: C2 동작 및 기능

PowerShell 임플란트는 /api/mdm/devices/ 엔드포인트를 통해 통신합니다. 시작 시 간단한 CONNECT/CONNECTED 핸드셰이크를 통해 연결을 설정하고, 'ACTIONS' 메시지로 패키징된 작업을 수신하여 실행하고, 'RESULT' 메시지를 사용하여 결과를 반환합니다. 작업에서 큰 출력이 생성되면 Airstalk는 MDM API의 BLOB 기능을 사용하여 데이터를 업로드합니다.

PowerShell 백도어에서 지원하는 관찰된 동작은 다음과 같습니다.

• 스크린샷을 찍으세요.
• Google Chrome에서 쿠키를 검색합니다.
• 모든 사용자의 Chrome 프로필을 나열합니다.
• 지정된 Chrome 프로필에 대한 북마크를 가져옵니다.
• 지정된 Chrome 프로필에 대한 검색 기록을 수집합니다.
• 사용자 디렉토리 아래의 모든 파일을 열거합니다.
• 자체 제거.

.NET 변형: 향상된 대상 및 기능

.NET 빌드는 범위와 정교함을 확장합니다. Microsoft Edge 및 Island와 같은 엔터프라이즈 브라우저를 추가로 지원하고, AirWatch 도우미 실행 파일(AirwatchHelper.exe)로 위장하며, 버전 불일치 알림, 디버깅 출력 및 비커닝에 사용되는 세 가지 추가 메시지 유형을 추가합니다.

.NET 변형의 주요 차이점 및 추가 동작:

C2 작업을 처리하고, 디버그 로그를 추출하고, C2에 대한 주기적 비콘을 수행하기 위해 3개의 전용 실행 스레드를 사용합니다.

특정 브라우저 프로필 삭제, 파일 업로드, URL 열기, 디렉토리 내용 나열 등의 명령을 포함하여 타겟형 침출 및 원격 제어를 위한 보다 광범위한 명령 세트를 지원합니다.

일부 .NET 샘플은 'Aoteng Industrial Automation (Langfang) Co., Ltd)'에 귀속된 인증서로 서명되어 있는데, 분석가들은 이 인증서가 도난당했을 가능성이 높다고 생각합니다. 초기 샘플의 컴파일 타임스탬프는 2024년 6월 28일입니다.

PowerShell 버전과 달리 분석된 .NET 변형 샘플은 지속성을 위한 예약된 작업을 일관되게 생성하지 않습니다.

.NET 샘플에서 관찰되는 확장된 명령 세트는 다음과 같습니다.

• 스크린샷
• UpdateChrome(특정 Chrome 프로필 추출)
• FileMap(디렉토리의 내용 나열)
• RunUtility(아직 관찰된 샘플에 구현되지 않음)
• EnterpriseChromeProfiles(Chrome 프로필 열거)
• UploadFile(파일/아티팩트 및 자격 증명 추출)
• OpenURL(Chrome에서 URL 실행)
• 제거
• EnterpriseChromeBookmarks(Chrome 프로필에서 북마크 검색)
• EnterpriseIslandProfiles(Island 브라우저 프로필 열거)
• UpdateIsland(특정 섬 프로필에서 탈출)
• ExfilAlreadyOpenChrome(현재 Chrome 프로필에서 쿠키 덤프)

분포 및 영향

공격 대상의 출처와 정확한 배포 방식은 아직 불분명합니다. 그러나 MDM API를 C2로 사용하고 기업용 브라우저, 특히 기업 배포를 목표로 하는 Island 브라우저에 집중하는 것은 공급망 또는 서드파티 공급업체가 BPO(비즈니스 프로세스 아웃소싱) 기업을 표적으로 삼고 있음을 강력히 시사합니다. BPO 공급업체는 도난당한 브라우저 세션 쿠키와 프로필 아티팩트를 통해 공격자가 수많은 다운스트림 클라이언트 환경에 접근할 수 있기 때문에 매력적인 공격 대상입니다. 공급업체 인프라를 통한 지속적인 접근은 그 영향력을 증폭시킵니다.

결론

Airstalk는 공격자가 신뢰할 수 있는 관리 플랫폼을 악용하여 악성 트래픽과 합법적인 관리 원격 측정 데이터를 혼합하는 우려스러운 추세를 보여줍니다. 타사 공급업체나 BPO 서비스에 의존하는 조직의 경우, 이러한 기법은 단일 침해가 여러 클라이언트 환경으로 확산될 위험을 상당히 증가시킵니다. 이러한 유형의 위협을 탐지하고 제한하려면 MDM 활동, 인증서 출처, 그리고 공급업체 툴체인의 무결성에 대한 경계가 필수적입니다.