PHANTOMPULSE RAT

정교한 사회공학적 공격이 시작되었습니다. 이 공격은 Obsidian을 초기 접근 경로로 활용하여 이전에 알려지지 않았던 Windows 원격 접속 트로이목마인 PHANTOMPULSE를 배포합니다. 특히 금융 및 암호화폐 분야 종사자를 대상으로 하며, 합법적인 도구에 대한 신뢰를 악용하여 기존의 보안 수준을 우회하는 방식을 사용합니다.

작전 REF6598: 전문 네트워크를 이용한 기만 행위

사이버 보안 연구원들이 REF6598로 명명한 이 캠페인은 링크드인과 텔레그램을 통해 고도의 사회공학적 기법을 사용합니다. 공격 대상은 처음에는 벤처 캐피털 회사와의 협업을 가장하여 접근합니다. 이후 대화는 사칭된 '파트너'들로 가득 찬 텔레그램 그룹 채팅으로 전환되어, 마치 파트너인 것처럼 위장합니다.

이러한 그룹 내에서는 금융 서비스와 암호화폐 유동성 전략에 대한 논의가 활발하게 이루어지며, 이는 신뢰도를 높이는 데 기여합니다. 피해자들은 최종적으로 제공된 자격 증명을 사용하여 클라우드 기반 Obsidian 금고를 통해 공유 대시보드에 접속하도록 안내받습니다.

숨겨진 방아쇠: 악의적인 금고 활성화

감염 경로는 피해자가 Obsidian 내의 공유 저장소를 열 때 시작됩니다. 이 단계에서 사용자는 기본적으로 비활성화된 '설치된 커뮤니티 플러그인'의 동기화를 활성화하라는 메시지를 받게 됩니다. 이 수동 작업은 내장된 악성 설정이 실행될 수 있도록 허용하기 때문에 매우 중요합니다.

공격자는 Shell Commands 및 Hider와 같은 합법적인 플러그인을 악용하여 승인되지 않은 코드를 실행합니다. Shell Commands는 코드 실행을 용이하게 하고, Hider는 상태 표시줄 및 툴팁과 같은 인터페이스 요소를 숨겨 탐지 가능성을 낮춥니다. 이 공격은 사용자가 플러그인 동기화를 활성화하도록 유도하여 내장된 보안 장치를 우회하는 데 전적으로 달려 있습니다.

의도적인 회피: 합법적인 기능을 이용해 살아가는 방법

이 캠페인은 소프트웨어 취약점을 악용하기보다는 신뢰할 수 있는 애플리케이션 기능을 전략적으로 악용했다는 점에서 두드러집니다. 주요 특징은 다음과 같습니다.

• 악성 페이로드는 JSON 설정 파일 내에 숨겨져 있어 기존 안티바이러스 탐지 시스템에 걸릴 가능성이 낮습니다.
• 실행은 서명된 Electron 기반 애플리케이션을 통해 수행되므로 상위 프로세스 기반 탐지가 복잡해집니다.
• 지속성 및 명령 실행은 애플리케이션 내의 합법적인 플러그인 메커니즘에 전적으로 의존합니다.

윈도우 감염 경로: 로더에서 메모리 상주 백도어까지

Windows 시스템에서 이 공격은 PowerShell 기반 실행 체인을 시작하여 PHANTOMPULL이라는 중간 로더를 배포합니다. 이 로더는 PHANTOMPULSE를 직접 메모리에서 복호화하고 실행하여 디스크 기반 탐지를 회피합니다.

PHANTOMPULSE는 이더리움 네트워크에 쿼리를 보내 블록체인 기반의 명령 및 제어(C2) 해결 방식을 구현합니다. 하드코딩된 지갑 주소와 연결된 최신 거래 내역을 검색하여 C2 서버를 동적으로 결정합니다. 통신은 WinHTTP를 통해 이루어지므로 데이터 유출, 명령 검색 및 실행 보고가 가능합니다.

해당 악성 소프트웨어는 광범위한 원격 제어 기능을 지원합니다.

• inject: 프로세스에 셸코드, DLL 또는 실행 파일을 주입합니다.
• drop: 디스크에 파일을 쓰고 실행합니다.
• 스크린샷: 화면 데이터를 캡처하여 업로드합니다.
• 키로그: 키 입력 로깅을 활성화 또는 비활성화합니다.
• 제거: 지속성 메커니즘을 제거하고 흔적을 정리합니다.
• elevate: COM 권한 상승을 사용하여 SYSTEM 권한으로 상승시킵니다.
• 권한 하향 조정: 시스템 관리자(SYSTEM) 수준에서 관리자 수준으로 권한을 낮춥니다.

macOS 버전: 난독화 및 유연한 C2 인프라

macOS에서 이 공격은 동일한 플러그인 메커니즘을 통해 전달되는 난독화된 AppleScript를 활용합니다. 이 스크립트는 미리 정의된 도메인 목록을 순환하며, C2 검색을 위한 대체 데드드롭 리졸버로 Telegram을 사용합니다. 이러한 설계 덕분에 인프라를 빠르게 교체할 수 있어 기존의 도메인 차단 전략을 무력화시킵니다.

마지막 단계는 osascript를 통해 보조 페이로드를 검색하고 실행하는 것입니다. 그러나 분석 당시 C2 서버가 비활성화되어 있어 이 페이로드의 전체 기능은 아직 파악되지 않았습니다.

공격 결과 및 전략적 함의

관찰된 침입 시도는 방어 조치로 인해 목표 달성 전에 탐지 및 차단되어 결국 실패로 끝났습니다. 그럼에도 불구하고 REF6598은 위협 행위자의 방법론에 있어 중요한 진화를 보여줍니다.

공격자들은 신뢰할 수 있는 애플리케이션을 악용하고 사용자가 설정을 변경하는 것을 이용하여 기존의 보안 제어를 효과적으로 우회합니다. 이러한 접근 방식은 합법적인 소프트웨어 기능을 은밀한 실행 채널로 악용하는 추세가 증가하고 있음을 보여주며, 사이버 보안 방어에 있어 사용자 경각심 제고와 행동 모니터링의 필요성을 강조합니다.