MeshAgent
100개가 넘는 우크라이나 주 및 지방 정부의 컴퓨터가 우크라이나 보안 서비스(SBU)에 대한 신뢰를 악용한 피싱 캠페인을 통해 MeshAgent 맬웨어에 의해 손상되었습니다.
이 공격에는 SBU에서 보낸 것처럼 보이는 이메일이 포함되었으며, 'Documents.zip'이라는 라벨이 붙은 파일을 다운로드할 수 있는 링크가 포함되어 있었습니다.
그러나 링크를 클릭하면 대신 'Scan_docs#40562153.msi'와 같은 Microsoft 소프트웨어 설치 프로그램(MSI) 파일이 다운로드되었습니다. 이 MSI 파일을 열면 MeshAgent 맬웨어로도 알려진 ANONVNC가 설치되고, 공격자는 손상된 시스템에 은밀하고 무단으로 접근할 수 있습니다.
목차
공격자는 오픈소스 도구를 악용했을 수 있습니다.
보안 연구원들이 분석한 바에 따르면 ANONVNC 맬웨어는 MeshAgent 소프트웨어 도구의 구성 파일과 매우 유사한 구성 파일을 가지고 있습니다.
MeshAgent는 기본적으로 오픈소스 플랫폼 MeshCentral과 함께 작동하도록 설계된 원격 관리 도구입니다. Windows, Linux, macOS, FreeBSD를 포함한 다양한 운영 체제를 지원합니다. MeshAgent 자체는 본질적으로 악의적이지 않지만 사이버 범죄자들은 이를 악용하여 손상된 엔드포인트에 백도어를 생성하여 VNC, RDP 또는 SSH와 같은 도구를 통한 원격 액세스를 가능하게 했습니다.
최근 보안 연구원들은 공격자가 손상된 시스템에서 지속성을 유지하고 원격 명령을 실행하기 위해 MeshAgent를 오용하는 사례가 증가하고 있는 것을 관찰했습니다.
사이버범죄자들이 MeshAgent 도구를 해킹한 이유는 무엇인가?
- 원활한 연결: MeshCentral은 설치 후 사용자 상호 작용이 필요 없이 엔드포인트와 자동으로 연결을 설정합니다.
- 허가되지 않은 액세스 : MeshCentral은 엔드포인트의 허가 없이 직접 또는 원격 데스크톱 프로토콜(RDP)을 통해 MeshAgent에 액세스할 수 있습니다.
- 시스템 제어 : 엔드포인트를 원격으로 깨우고, 재시작하거나 종료할 수 있는 기능이 있습니다.
- 명령 및 제어 : MeshCentral은 명령 서버 역할을 하여 사용자가 알지 못하는 사이에 셸 명령을 실행하고 엔드포인트에서 파일을 전송할 수 있습니다.
- 감지할 수 없는 작업 : MeshCentral에서 수행하는 작업은 NT AUTHORITY\SYSTEM 계정에서 작동하므로 일반 백그라운드 프로세스에 섞여들 수 있습니다.
- 고유 파일 해시 : MeshAgent의 각 인스턴스는 고유하게 생성되므로 파일 해시만으로는 감지하기 어렵습니다.
- 피싱 및 방화벽 회피 : 공격자는 피싱 이메일을 통해 MeshAgent를 자주 배포합니다. 통신에 80 및 443과 같은 일반적인 포트를 사용하면 방화벽의 감지를 회피할 가능성이 높아집니다.
전문가들은 더 큰 위협적인 캠페인의 가능성에 대해 경고합니다.
연구자들은 이 최신 캠페인이 2024년 7월에 시작되어 우크라이나 국경 너머로 확장될 수 있다고 믿습니다. pCloud 파일 저장 서비스에 대한 분석 결과 8월 1일 이후로 업로드된 EXE 및 MSI 파일이 1,000개가 넘었으며, 그 중 일부는 이 광범위한 캠페인과 관련이 있을 수 있습니다.
8월 6일, 우크라이나는 쿠르스크 지역에 기습 공격을 가했다. 처음으로 고위 군 사령관이 키이우군이 현재 1,000제곱킬로미터(약 386제곱마일)가 넘는 러시아 영토를 통제하고 있다고 공개적으로 확인했다.
정부 컴퓨터 시스템에 백도어 맬웨어를 배포한 최근 피싱 캠페인은 이 중요한 우크라이나 공세와 동시에 발생했습니다. 그러나 키이우는 이러한 표적 공격을 러시아나 사이버 작전에 직접 기인시키지 않았습니다. 대신 이 캠페인은 UAC-0198로 식별된 위협 행위자와 연결되었습니다.
이전에 러시아 해커들은 비슷한 전략을 사용하여 합법적인 원격 모니터링 및 관리(RMM) 소프트웨어를 활용하여 우크라이나와 그 동맹국을 감시했습니다. 그들은 Microsoft의 'Minesweeper' 게임의 합법적인 Python 코드 내에 RMM 소프트웨어를 다운로드하고 실행하는 데 필요한 악성 스크립트를 숨겼습니다.
