선인장 랜섬웨어
사이버 보안 연구원들은 클라우드 분석 및 비즈니스 인텔리전스 플랫폼인 Qlik Sense 내에서 새로 공개된 보안 취약점을 활용하는 CACTUS 랜섬웨어 캠페인에 대해 경고했습니다. 이 캠페인은 CACTUS 랜섬웨어를 활용하는 악의적인 행위자가 대상 환경에 대한 초기 액세스 권한을 얻기 위한 기본 방법으로 Qlik Sense의 취약성을 활용한 최초의 문서화된 사례를 의미하므로 주목할만한 발전을 나타냅니다. 이는 무단 액세스 및 잠재적인 데이터 손상을 위해 널리 사용되는 소프트웨어 플랫폼의 약점을 악용하기 위해 위협 행위자가 사용하는 전술이 진화하고 있음을 강조합니다.
CACTUS 랜섬웨어는 여러 소프트웨어 취약점을 통해 전달됩니다.
사이버 보안 분석가들은 몇 달에 걸쳐 공개된 세 가지 취약점을 악용하는 것으로 보이는 일련의 공격을 확인했습니다.
- CVE-2023-41265(CVSS 점수: 9.9) - 이 취약점에는 HTTP 요청 터널링이 포함되어 있어 원격 공격자가 자신의 권한을 높이고 저장소 애플리케이션을 호스팅하는 백엔드 서버에서 실행되는 요청을 보낼 수 있습니다.
- CVE-2023-41266(CVSS 점수: 6.5) - 인증되지 않은 원격 공격자가 인증되지 않은 엔드포인트에 HTTP 요청을 전송할 수 있게 하는 경로 통과 취약점입니다.
- CVE-2023-48365(CVSS 점수: 9.9) - HTTP 헤더의 부적절한 유효성 검사로 인해 발생하는 인증되지 않은 원격 코드 실행 취약점으로, 원격 공격자가 HTTP 요청 터널링을 통해 권한을 상승시킬 수 있습니다.
CVE-2023-48365는 CVE-2023-41265에 대한 불완전한 패치의 결과라는 점에 유의하는 것이 중요합니다. CVE-2023-41266과 함께 두 가지 취약점 모두 2023년 8월 말에 공개되었으며 CVE-2023-48365에 대한 수정 사항은 2023년 9월 20일에 구현되었습니다.
관찰된 CACTUS 랜섬웨어 공격에서는 식별된 취약점이 악용되어 Qlik Sense Scheduler 서비스의 오용으로 이어졌습니다. 이를 통해 공격자는 지속성을 설정하고 원격 제어를 설정하기 위해 추가 도구를 다운로드하도록 설계된 프로세스를 생성할 수 있습니다.
이러한 공격과 관련된 추가 도구에는 UEMS(ManageEngine Unified Endpoint Management and Security), AnyDesk 및 Plink가 포함됩니다. 특히 위협 행위자는 Sophos 소프트웨어를 제거하고, 관리자 계정 비밀번호를 변경하고, Plink를 통해 RDP 터널을 생성하는 것이 관찰되었습니다. 공격 체인은 궁극적으로 CACTUS 랜섬웨어의 배포로 이어지며, 공격자는 데이터 유출을 위해 클론 도 활용합니다. 이 포괄적인 공격 전략은 CACTUS 랜섬웨어 캠페인의 정교하고 다단계적인 특성을 강조합니다.
랜섬웨어 위협 행위자들의 기술이 진화하고 있습니다
CACTUS 랜섬웨어의 출현은 랜섬웨어 위협 환경이 점점 더 정교해지고 있음을 반영합니다. 지하 경제는 초기 액세스 브로커와 봇넷 소유자 네트워크를 통해 대규모 공격을 지원하도록 진화했습니다. 이러한 기업은 피해자 시스템에 대한 액세스 권한을 여러 제휴 행위자에게 재판매하여 랜섬웨어 위협의 확대에 기여합니다.
랜섬웨어에 맞서기 위한 정부의 전 세계적 노력에도 불구하고 RaaS(Ransomware-as-a-Service) 비즈니스 모델은 여전히 대상으로부터 돈을 갈취하는 탄력적이고 수익성 있는 방법입니다. 이 모델의 수명과 수익성은 지속되므로 위협 행위자가 불법 활동에 적응하고 계속할 수 있습니다.
주목할만한 랜섬웨어 그룹 중 하나인 Black Basta는 2022년 4월에 등장했으며 90명 이상의 피해자로부터 비트코인 몸값 지불로 1억 700만 달러가 넘는 불법 이익을 축적한 것으로 추정됩니다. 최근 공동 연구에 따르면 이러한 자금의 상당 부분이 Hydra Dark Net 시장과의 거래를 촉진하기 위해 2022년 4월 미국 정부가 승인한 러시아 암호화폐 거래소인 Garantex를 통해 세탁된 것으로 나타났습니다.
또한, 분석 결과 Black Basta와 현재는 존재하지 않는 러시아 사이버 범죄 그룹 Conti 사이의 연관성이 밝혀졌습니다. Conti는 Black Basta의 등장과 동시에 활동을 중단했습니다. 또한 랜섬웨어 배포에 사용되는 도구인 QakBot 과의 연관성도 확인되었습니다. 이 복잡한 연결망은 현대 랜섬웨어 작업의 복잡하고 상호 연결된 특성을 강조합니다.
