DarkNimbus 백도어

이전에 알려지지 않았던 위협 그룹이 이제 Earth Minotaur로 지정되어 사이버 감시에서 중요한 역할을 하는 것으로 나타났습니다. MOONSHINE 익스플로잇 키트와 DarkNimbus라는 새롭게 식별된 백도어와 같은 정교한 도구를 사용하여 Earth Minotaur는 티베트와 위구르 커뮤니티에 침투하고 모니터링하려는 계산된 노력으로 Android와 Windows 기기를 모두 타겟팅할 수 있는 능력을 보여주었습니다.

MOONSHINE Exploit Kit: 크로스 플랫폼 위협을 위한 게이트웨이

Earth Minotaur의 운영의 핵심은 MOONSHINE 익스플로잇 키트입니다. 원래 2019년 티베트 대상 사이버 공격 중에 문서화된 MOONSHINE은 Chromium 기반 브라우저와 애플리케이션의 취약점을 악용하여 페이로드를 전달합니다. 그 이후로 진화하여 2020년 초에 Google에서 패치한 V8 JavaScript 엔진의 결함인 CVE-2020-6418과 같은 추가 취약점을 통합했습니다.

이 익스플로잇 키트는 특히 다재다능합니다. Google Chrome, WeChat, QQ, LINE과 같은 애플리케이션을 대상으로 하며 손상된 링크를 통해 피해자의 기기에 침투하도록 설계되었습니다. 이러한 링크는 종종 티베트와 위구르 커뮤니티와 관련된 발표나 멀티미디어와 같은 무해한 콘텐츠로 위장하여 소셜 엔지니어링 전술의 효과를 극대화합니다.

DarkNimbus: 다재다능하고 침입적인 백도어

MOONSHINE이 장치에 접근하면 장기 감시를 위해 특별히 설계된 도구인 DarkNimbus 백도어를 전달합니다.

Android에서 DarkNimbus

DarkNimbus의 안드로이드 버전은 매우 침투적이며, XMPP 프로토콜을 활용하여 운영자와 통신합니다. 다음을 포함한 민감한 데이터를 빼낼 수 있도록 갖춰져 있습니다.

• 장치 메타데이터
• 지리적 위치 데이터
• 통화 내역
• 연락처 및 메시지
• 브라우저 북마크 및 클립보드 콘텐츠

DarkNimbus는 또한 WhatsApp, WeChat, Skype와 같은 인기 있는 커뮤니케이션 애플리케이션의 메시지를 가로채기 위해 Android의 접근성 서비스를 활용합니다. 또한 셸 명령을 실행하고, 통화를 녹음하고, 스크린샷을 캡처하고, 심지어 감지를 피하기 위해 스스로를 제거할 수도 있습니다.

Windows에서 DarkNimbus

기능이 덜 풍부하지만 Windows 버전은 여전히 데이터 유출을 위한 강력한 도구입니다. 2020년 후반부터 활성화되어 시스템 정보, 키 입력, 클립보드 데이터, 저장된 자격 증명 및 브라우저 기록을 캡처할 수 있습니다.

사회 공학 및 익스플로잇 체인: 공격의 해부학

Earth Minotaur는 피해자를 함정으로 유인하기 위해 사회 공학에 크게 의존합니다. 인스턴트 메시징 앱에 포함된 위협적인 링크는 피해자를 55개 이상의 MOONSHINE 익스플로잇 서버 중 하나로 리디렉션합니다. 이러한 서버는 피해자의 기기와 브라우저 구성에 따라 다양한 전략을 배포합니다.

• 공격 실행 : 취약점이 확인되면 서버는 DarkNimbus 백도어를 설치합니다.
• 피싱 리디렉션 : 익스플로잇이 실패하면 피해자는 브라우저를 업데이트하라는 피싱 페이지를 접하게 될 수 있으며, 이로 인해 추가적인 침해가 발생할 수 있습니다.

어떤 경우에는 WeChat과 같은 애플리케이션의 브라우저 엔진을 다운그레이드하고, 지속적인 액세스를 용이하게 하는 트로이 목마 버전으로 대체하는 공격이 포함됩니다.

지구 미노타우로스의 세계적 영향력

이 그룹의 활동은 지리적으로 제한되지 않습니다. 미국, 캐나다, 인도, 독일, 대만을 포함한 18개국에서 피해자가 확인되어 이 그룹의 글로벌한 활동 범위를 강조합니다.

MOONSHINE은 POISON CARP 및 Earth Empusa와 같은 다른 위협 그룹과 관련이 있지만 Earth Minotaur는 독립적으로 운영됩니다. 이 그룹의 티베트 및 위구르 커뮤니티에 대한 초점은 Evasive Panda 및 Scarlet Mimic과 같은 적의 유사한 캠페인과 일치합니다. 그러나 Earth Minotaur는 매우 적응력 있는 도구와 정교한 감염 체인을 사용하는 것으로 두드러집니다.

MOONSHINE의 지속적인 진화

MOONSHINE은 여전히 활발하게 개발 중인 툴킷이며 UNC5221과 Earth Minotaur를 포함한 다양한 위협 행위자들 사이에서 공유됩니다. 지속적인 개선은 취약한 커뮤니티를 표적으로 삼는 적의 지속성을 강조합니다.

마무리 생각: 위협 인식 및 완화

Earth Minotaur는 표적 사이버 공격의 복잡성이 커지고 있음을 보여줍니다. 사용자는 최신 소프트웨어를 유지하고, 원치 않는 링크에 주의를 기울이고, 피싱 시도에 대해 경계해야 합니다. 위협 행위자가 전략을 개선함에 따라, 선제적 사이버 보안 조치는 Earth Minotaur와 같은 진화하는 위협에 대한 첫 번째 방어선으로 남아 있습니다.