Hidden Risk Malware
북한 위협 그룹 BlueNoroff의 새로운 캠페인은 macOS 시스템을 타겟으로 하는 정교한 다단계 맬웨어를 사용하여 암호화폐 사업에 초점을 맞추고 있습니다. 연구원들이 Hidden Risk라고 부르는 이 캠페인은 암호화폐 시장의 최근 동향에 대한 조작된 뉴스가 담긴 이메일로 피해자를 유혹합니다. 이러한 공격에 관련된 맬웨어는 macOS에서 혁신적인 지속성 기술을 사용하여 최신 시스템 업데이트에서 감지되지 않도록 설계되어 보안 경고를 효과적으로 우회합니다.
BlueNoroff는 암호화폐 절도로 악명 높은 사이버 범죄 집단으로, 이전에 macOS 시스템을 표적으로 삼았습니다. 과거 공격에서 그들은 ObjCShellz라는 페이로드를 사용했는데, 이를 통해 손상된 Mac에 원격 셸을 구축할 수 있었습니다.
숨겨진 러스크 감염 사슬이 수행되는 방법
공격은 암호화폐 관련 뉴스를 담고 있는 것처럼 보이는 피싱 이메일이 전달되면서 시작되는데, 종종 유명 암호화폐 인플루언서가 전달한 메시지처럼 보여 신뢰성을 더합니다. 이메일에는 중요한 정보가 담긴 PDF로 연결되는 링크가 포함되어 있지만, 실제로는 피해자를 공격자가 제어하는 도메인인 delphidigital.org로 안내합니다.
연구자들은 해당 URL이 현재 제목이 변경된 비트코인 ETF 문서의 무해한 버전을 호스팅하고 있지만, 가끔은 Hidden Risk Behind New Surge of Bitcoin Price.app이라는 안전하지 않은 애플리케이션 번들의 첫 번째 단계로 연결된다는 것을 발견했습니다.
이 캠페인에서 위협 행위자는 텍사스 대학교의 합법적인 학술 논문을 위장으로 사용했습니다. 공격의 첫 번째 단계는 유효한 Apple Developer ID인 'Avantis Regtech Private Limited (2S8XHJ7948)'로 서명 및 공증된 드로퍼 애플리케이션과 관련이 있으며, Apple은 이후 이를 취소했습니다.
실행되면, 드로퍼는 Google Drive 링크에서 미끼 PDF를 다운로드하고 기본 PDF 뷰어에서 열어 피해자의 주의를 산만하게 합니다. 한편, 공격의 다음 단계는 matuaner.com에서 비밀리에 다운로드됩니다. 주목할 점은 공격자가 앱의 Info.plist 파일을 변경하여 도메인에 대한 안전하지 않은 HTTP 연결을 허용하여 Apple의 앱 전송 보안 프로토콜을 효과적으로 우회했다는 것입니다.
숨겨진 위험에 의해 악용되는 새로운 지속성 메커니즘
'growth'라는 이름의 2단계 페이로드는 Intel과 Rosetta 에뮬레이션 프레임워크가 장착된 Apple Silicon 기기에서 작동하는 x86_64 Mach-O 바이너리입니다. Zsh 세션 중에 로드되는 사용자 홈 디렉토리의 숨겨진 .zshenv 구성 파일을 수정하여 지속성을 보장합니다.
성공적인 감염을 확인하고 지속성을 유지하기 위해 맬웨어는 /tmp/ 디렉터리에 숨겨진 '터치 파일'을 생성하여 재부팅이나 사용자 로그인 후에도 페이로드를 활성 상태로 유지하는 데 도움이 됩니다. 이 기술을 사용하면 macOS 13 이상의 지속성 감지 시스템을 우회할 수 있으며, 일반적으로 새 LaunchAgent가 설치되면 사용자에게 경고합니다. 악성 Zshenv 파일로 시스템을 감염시킴으로써 맬웨어는 더 강력한 형태의 지속성을 확립합니다. 이 방법은 완전히 새로운 것은 아니지만 연구자들이 맬웨어 작성자의 라이브 공격에 이 방법이 사용되는 것을 본 것은 처음입니다.
시스템에 침투한 백도어는 명령 및 제어(C2) 서버에 연결하여 60초마다 새로운 명령을 확인합니다. 사용하는 사용자 에이전트 문자열은 2023년 BlueNoroff에 기인한 이전 공격과 관련이 있습니다. 관찰된 명령에는 추가 페이로드를 다운로드하고 실행하고, 파일을 변경하거나 훔치는 셸 명령을 실행하거나 프로세스를 완전히 중지하는 것이 포함됩니다.
전문가들은 Hidden Risk 캠페인이 지난 12개월 동안 활발히 진행되어 왔으며, 다른 북한 해커 작전에서 볼 수 있는 전형적인 소셜 미디어 '그루밍' 전략보다는 더 직접적인 피싱 접근 방식을 취하고 있다고 지적합니다. 연구원들은 또한 BlueNoroff가 새로운 Apple 개발자 계정을 보호하고 페이로드를 공증받을 수 있는 지속적인 능력을 지적하여 macOS Gatekeeper 보호를 우회할 수 있도록 합니다.
