BADAUDIO 악성코드
위협 행위자들이 끊임없이 전술과 전략을 개선함에 따라 사이버 보안 경계는 여전히 필수적입니다. 중국과 연계된 APT24라는 그룹은 표적 네트워크에 대한 장기 접근을 유지하기 위해 이전에 문서화되지 않은 멀웨어인 BADAUDIO를 배포해 왔습니다. 이 활동은 거의 3년에 걸쳐 진행된 캠페인의 일환이며, 지능형 지속 위협(APT)이 사용하는 정교하고 적응력 있는 수법을 잘 보여줍니다.
목차
광범위한 공격에서 표적 작전까지
APT24는 초기에는 합법적인 웹사이트를 감염시키기 위해 광범위한 전략적 웹 침해에 의존했습니다. 시간이 지남에 따라 APT24는 특히 대만의 조직을 대상으로 더욱 정밀한 표적 공격에 집중했습니다. 주요 공격 방법은 다음과 같습니다.
- 지역 디지털 마케팅 회사를 반복적으로 침해하여 악성 스크립트를 배포하는 등 공급망 공격.
- 특정 개인이나 조직을 표적으로 삼는 스피어피싱 캠페인.
APT24(피티 타이거라고도 함)는 역사적으로 미국과 대만의 정부, 의료, 건설 및 엔지니어링, 광업, 비영리 단체, 통신 등의 분야에 집중적으로 공격해 왔습니다. 증거에 따르면 이 그룹은 최소 2008년부터 활동해 왔으며, CVE-2012-0158 및 CVE-2014-1761과 같은 취약점을 악용하는 악성 Microsoft Office 문서가 포함된 피싱 이메일을 활용하고 있습니다.
악성코드 무기고: RAT부터 BADAUDIO까지
APT24는 다양한 맬웨어 제품군을 배포했습니다.
- CT 쥐
- M RAT(Goldsun-B), Enfal/Lurid Downloader의 변형
- Paladin RAT 및 Leo RAT, Gh0st RAT의 변형
- 타이도어(루단) 백도어
새롭게 발견된 BADAUDIO는 정교함이 돋보입니다. C++로 작성되었으며, 고도로 난독화되어 있고 제어 흐름 평탄화(CFL)를 사용하여 역공학을 방지합니다. 1단계 다운로더 역할을 하며, 하드코딩된 명령 및 제어(C2) 서버에서 AES로 암호화된 페이로드를 검색, 복호화 및 실행할 수 있습니다.
BADAUDIO는 일반적으로 악성 DLL로 작동하며, DLL 검색 순서 하이재킹(DLL Search Order Hijacking)을 활용하여 합법적인 애플리케이션을 통해 실행됩니다. 최근 변종은 VBS, BAT, LNK 파일과 함께 DLL을 포함하는 암호화된 아카이브 형태로 배포됩니다.
BADAUDIO 캠페인: 기술 및 실행
2022년 11월부터 진행 중인 BADAUDIO 캠페인은 여러 가지 초기 접근 벡터에 의존했습니다.
- 물웅덩이
- 공급망 손상
- 스피어피싱 이메일
2022년부터 2025년 초까지 APT24는 20개 이상의 합법적인 웹사이트를 손상시키고 다음과 같은 JavaScript를 주입했습니다.
- macOS, iOS, Android 방문자는 제외되었습니다.
- FingerprintJS를 사용하여 고유한 브라우저 지문을 생성했습니다.
- Google Chrome 업데이트로 위장하여 사용자에게 BADAUDIO를 다운로드하라고 촉구하는 팝업이 표시됩니다.
2024년 7월, 이 그룹은 대만의 한 지역 디지털 마케팅 회사를 통해 공급망 공격을 확대하여 널리 배포된 라이브러리에 악성 자바스크립트를 주입했습니다. 이로 인해 1,000개 이상의 도메인이 영향을 받았습니다.
이 공격은 타이포스쿼팅된 CDN 도메인을 사용하여 공격자가 제어하는 스크립트, 지문 인식기를 가져오고 가짜 팝업을 게재했습니다. 2025년 6월에 도입된 조건부 스크립트 로딩 메커니즘을 통해 개별 도메인에 대한 맞춤형 타겟팅이 가능했지만, 8월에 잠시 중단되어 제한이 다시 적용되기 전에 1,000개의 도메인이 모두 침해될 수 있었습니다.
고급 피싱 및 소셜 엔지니어링
APT24는 2024년 8월부터 동물 구조 단체 등의 미끼를 사용하여 고도로 표적화된 피싱 캠페인을 수행해 왔습니다. 피해자는 Google Drive 또는 Microsoft OneDrive를 통해 BADAUDIO가 포함된 암호화된 아카이브를 받게 되며, 추적 픽셀을 통해 참여를 모니터링하고 공격을 최적화합니다.
공급망 조작, 첨단 소셜 엔지니어링, 클라우드 서비스 남용이 결합된 것은 APT24가 지속적이고 적응적인 간첩 활동을 수행할 수 있는 역량을 보여준다.
APT24의 작전은 국가와 연계된 사이버 위협이 점점 더 복잡해지고 있음을 보여주며, 조직에서 엄격한 보안 모니터링을 구현하고, 소프트웨어 무결성을 검증하고, 정교한 피싱 및 공급망 위험에 대한 직원 교육을 실시해야 할 필요성을 강조합니다.
