Matanbuchus 3.0 맬웨어
마탄부쿠스(Matanbuchus)는 악명 높은 서비스형 맬웨어(Malware-as-a-Service) 플랫폼으로, 코발트 스트라이크(Cobalt Strike) 비콘이나 랜섬웨어와 같은 차세대 페이로드를 배포하도록 설계되었습니다. 2021년 2월 러시아어 포럼에서 2,500달러에 처음 홍보된 이 맬웨어는 순식간에 위협 행위자들의 주요 공격 수단으로 자리 잡았습니다. 공격자들은 클릭픽스(ClickFix) 방식의 캠페인에 마탄부쿠스를 활용하여, 합법적이지만 감염된 웹사이트로 사용자를 유인했습니다.
목차
배달 전략과 진화하는 위협 벡터
악성코드의 배포 기법은 점점 더 정교해졌습니다. 초기 공격은 피해자를 악성 Google Drive 링크로 유도하는 피싱 이메일에 크게 의존했습니다. 시간이 지남에 따라 공격자들은 다음과 같은 공격 기법을 추가로 활용했습니다.
- 손상된 사이트에서의 드라이브바이 다운로드
- 악성 MSI 설치 프로그램
- 악성 광고 캠페인
Matanbuchus는 DanaBot, QakBot, Cobalt Strike와 같은 2차 페이로드를 배포하는 것으로 관찰되었는데, 이는 종종 랜섬웨어 감염의 디딤돌로 사용됩니다.
Matanbuchus 3.0: 고급 기능 및 특징
최신 버전인 Matanbuchus 3.0에서는 은밀성과 지속성을 향상시키는 상당한 개선 사항이 도입되었습니다. 주요 업그레이드 내용은 다음과 같습니다.
- 고급 통신 프로토콜 기술
- 스텔스를 위한 메모리 내 실행
- 탐지를 피하기 위한 향상된 난독화
- CMD 및 PowerShell을 통한 역방향 셸 지원
- DLL, EXE 및 셸코드 페이로드를 실행하는 기능
이러한 진화는 맬웨어가 고도의 다단계 공격을 용이하게 하는 역할을 한다는 것을 보여줍니다.
실제 악용: Microsoft Teams를 통한 소셜 엔지니어링
연구원들은 2025년 7월에 익명의 회사를 표적으로 삼은 캠페인을 발견했습니다. 공격자들은 외부 Microsoft Teams 통화 중에 IT 헬프 데스크 직원을 사칭하여 직원들이 원격 접속을 위해 빠른 지원(Quick Assist)을 실행하도록 유도했습니다. 이를 통해 Matanbuchus를 배포하는 PowerShell 스크립트를 실행할 수 있었습니다.
이러한 전술은 이전에 Black Basta 랜섬웨어 그룹과 연관이 있었던 사회 공학적 방법을 반영한 것으로, 로더와 랜섬웨어 작업 간에 중복이 증가하고 있음을 나타냅니다.
후드 아래: 감염 사슬과 지속성
피해자가 제공된 스크립트를 실행하면 아카이브가 다운로드됩니다. 내용은 다음과 같습니다.
- 이름이 변경된 Notepad++ 업데이터(GUP)
- 수정된 XML 구성 파일
- 로더를 나타내는 악성 DLL
실행 후, Matanbuchus는 시스템 데이터를 수집하고, 보안 도구를 확인하고, 권한 수준을 확인한 후 명령 및 제어(C2) 서버로 세부 정보를 전송합니다. 추가 페이로드는 MSI 패키지 또는 실행 파일로 제공됩니다. COM 객체를 사용하여 예약된 작업을 생성하고 셸코드를 삽입하여 지속성을 확보하는데, 이는 단순성과 정교함을 모두 갖춘 기법입니다.
스텔스와 통제: 왜 위험한가
이 로더는 프로세스, 서비스 및 설치된 애플리케이션에 대한 세부 정보를 수집하는 WQL 쿼리 및 원격 명령을 포함한 고급 기능을 지원합니다. regsvr32, rundll32, msiexec와 같은 시스템 명령을 실행할 수 있으며, 프로세스 할로잉(process hollowing) 기능도 수행할 수 있어 유연성이 뛰어납니다.
위협의 배후에 있는 가격 책정 및 비즈니스 모델
이 MaaS 플랫폼은 다음과 같은 기능 세트로 인해 가격이 급등했습니다.
- HTTPS 버전의 경우 월 10,000달러
- DNS 버전의 경우 월 15,000달러
이러한 비용은 사이버범죄 생태계에서 맬웨어의 효과와 수요를 반영합니다.
Matanbuchus와 MaaS 진화의 더 큰 그림
최신 버전은 LOLBins, COM 하이재킹, PowerShell 스테이저를 활용하여 탐지되지 않는 스텔스 우선 로더의 추세를 잘 보여줍니다. Microsoft Teams 및 Zoom과 같은 협업 도구의 악용은 기업 보안을 더욱 복잡하게 만듭니다. 연구원들은 이러한 위협이 계속 진화함에 따라 로더 탐지 기능을 공격 표면 관리에 통합할 것을 강조합니다.
