EncryptRAT

EncryptHub로 알려진 재정적 동기를 가진 위협 행위자는 정보 도용자와 랜섬웨어를 배포하기 위해 고급 피싱 캠페인을 적극적으로 조율해 왔습니다. 또한 이 그룹은 EncryptRAT이라는 새로운 위협 도구를 개발 중이며, 이는 사이버 범죄 환경에서 지속적인 진화를 알리는 신호입니다.

인기 있는 애플리케이션 타겟팅 및 PPI 서비스 사용

EncryptHub는 널리 사용되는 애플리케이션의 트로이 목마 버전을 배포하여 피해자의 시스템에 침투하는 것으로 관찰되었습니다. 이 그룹은 또한 LabInstalls와 같은 타사 Pay-Per-Install(PPI) 서비스를 활용하여 맬웨어 캠페인의 도달 범위를 확대합니다.

운영 보안 실수 및 악용 활용

사이버 보안 연구자들은 EncryptHub를 자주 운영 보안 오류를 범하는 해킹 그룹으로 식별했습니다. 이러한 실수에도 불구하고 이 그룹은 널리 알려진 보안 취약성에 대한 익스플로잇을 공격에 성공적으로 통합하여 지속적인 위협으로 만들었습니다.

떠오르는 위협: LARVA-208 및 다중 채널 공격

스위스 사이버 보안 회사에서 LARVA-208로 추적한 EncryptHub는 2024년 6월에 활동을 시작한 것으로 추정됩니다. 이 그룹은 SMS 피싱(스미싱) 및 음성 피싱(비싱)을 포함한 다양한 공격 벡터를 사용하여 피해자를 속여 원격 모니터링 및 관리(RMM) 소프트웨어를 설치하도록 합니다.

주요 랜섬웨어 그룹과의 제휴

EncryptHub는 RansomHub 및 Blacksuit Ransomware 그룹과 긴밀한 관계를 맺고 있습니다. 지난 9개월 동안 고급 소셜 엔지니어링 기술을 사용하여 여러 산업에 걸쳐 618개 이상의 고가치 대상을 침해했습니다. 일반적인 전술에는 VPN 자격 증명을 훔치도록 설계된 피싱 웹사이트가 포함되고, 그 다음에는 피해자가 세부 정보를 입력하도록 설득하기 위해 IT 지원을 사칭하는 전화가 이어집니다. 전화가 사용되지 않는 경우 가짜 Microsoft Teams 링크가 미끼로 사용됩니다.

방탄 호스팅 및 맬웨어 배포

탐지를 피하기 위해 EncryptHub는 Yalishand와 같은 방탄 호스팅 제공업체에서 피싱 사이트를 호스팅합니다. 액세스가 확보되면 공격자는 PowerShell 스크립트를 실행하여 Fickle , StealC , Rhadamanthys 와 같은 스틸러 맬웨어를 설치합니다. 대부분의 경우 궁극적인 목표는 랜섬웨어를 배포하고 몸값을 갈취하는 것입니다.

주요 진입점으로서의 트로이 목마화된 애플리케이션

또 다른 일반적으로 사용되는 방법은 멀웨어를 합법적인 소프트웨어로 위장하는 것입니다. EncryptHub는 QQ Talk, QQ Installer, WeChat, DingTalk, VooV Meeting, Google Meet, Microsoft Visual Studio 2022 및 Palo Alto Global Protect와 같은 애플리케이션의 가짜 버전을 배포해 왔습니다. 이러한 위조 애플리케이션은 설치되면 다단계 프로세스를 시작하여 결국 브라우저 쿠키 및 기타 민감한 데이터를 수집하기 위해 Kematian Stealer와 같은 안전하지 않은 페이로드를 전달합니다.

LabInstalls: 맬웨어 배포의 중요한 요소

EncryptHub는 적어도 2025년 1월 2일부터 유료로 대량 맬웨어 설치를 제공하는 PPI 서비스인 LabInstalls에 의존해 왔습니다. 가격은 100회 로드 시 10달러에서 10,000회 로드 시 450달러까지 다양합니다. EncryptHub는 러시아어를 사용하는 지하 포럼에 긍정적인 피드백을 남기고, 심지어 증거로 스크린샷을 공유함으로써 이 서비스를 사용했다는 것을 확인했습니다. 이는 해당 공격자가 운영을 보다 효율적으로 확장하기 위해 배포를 아웃소싱하고 있음을 시사합니다.

EncryptRAT: 사이버범죄의 차세대 진화

EncryptHub는 감염된 시스템을 관리하고, 원격 명령을 실행하고, 도난당한 데이터에 액세스하도록 설계된 명령 및 제어(C2) 패널인 EncryptRAT를 적극적으로 개발하고 있습니다. 일부 증거에 따르면 이 그룹은 이 도구를 상용화하여 기업과 개인 모두에게 위협을 증가시킬 가능성이 있습니다.

경계와 선제적 방어의 필요성

EncryptHub의 지속적인 적응과 진화는 조직이 다층 보안 전략을 채택해야 할 시급한 필요성을 강조합니다. 지속적인 모니터링, 사전 방어 조치 및 사용자 인식 교육은 이 증가하는 사이버 위협으로 인한 위험을 완화하는 데 필수적입니다.