싱글캠퍼 RAT

RomCom으로 알려진 러시아의 위협 행위자는 적어도 2023년 후반부터 우크라이나 정부 기관과 알려지지 않은 폴란드 기관을 표적으로 삼은 새로운 사이버 공격과 관련이 있는 것으로 밝혀졌습니다.

침입은 SingleCamper(일명 SnipBot 또는 RomCom 5.0)라고 불리는 RomCom RAT 의 변형을 사용하는 것이 특징입니다. 정보 보안 연구원들은 UAT-5647이라는 이름으로 활동 클러스터를 모니터링하고 있습니다. 이 버전은 레지스트리에서 메모리로 직접 로드되고 루프백 주소를 사용하여 로더와 통신합니다.

이 위협 행위자는 수많은 공격 캠페인을 시작했습니다.

RomCom은 Storm-0978, Tropical Scorpius, UAC-0180, UNC2596, Void Rabisu 등의 별칭으로도 알려져 있으며, 2022년 등장 이후 다양한 사이버 작전에 연루되었습니다. 이러한 작전에는 랜섬웨어 공격, 협박 계획, 신원 정보의 표적 수집이 포함됩니다.

최근 평가 결과에 따르면, 이들의 공격 빈도가 눈에 띄게 증가했으며, 주로 손상된 네트워크에 장기적으로 접근하여 귀중한 데이터를 추출하는 데 중점을 두고 있어 간첩 활동을 주요 목적으로 하고 있습니다.

이를 지원하기 위해 RomCom은 C++(ShadyHammock), Rust(DustyHammock), Go(GLUEEGG), Lua(DROPCLUE) 등 다양한 프로그래밍 언어와 플랫폼을 사용하여 구축된 광범위한 맬웨어 구성 요소를 통합하여 툴킷과 인프라를 확장하고 있는 것으로 알려졌습니다.

타겟을 손상시키는 스피어피싱 전술

공격 시퀀스는 다운로더를 전달하는 스피어 피싱 이메일로 시작하는데, 다운로더는 C++(MeltingClaw) 또는 Rust(RustyClaw)로 작성될 수 있습니다. 이 다운로더는 ShadyHammock 및 DustyHammock 백도어를 배포하는 역할을 하며, 수신자에게는 속임수를 유지하기 위해 미끼 문서가 표시됩니다.

DustyHammock은 명령 및 제어(C2) 서버와 통신하고, 임의의 명령을 실행하고, 여기에서 파일을 다운로드하도록 설계되었습니다. 반면 ShadyHammock은 SingleCamper를 시작하고 들어오는 명령을 모니터링하는 플랫폼으로 기능합니다.

ShadyHammock은 이러한 추가적인 기능에도 불구하고 DustyHammock의 전신으로 간주되는데, DustyHammock은 2024년 9월에 발생한 공격에서도 감지되었기 때문입니다.

SingleCamper RAT는 최신 버전입니다.

RomCom RAT의 최신 버전인 SingleCamper는 다양한 침해 후 활동을 위해 설계되었습니다. 이러한 활동에는 PuTTY에서 Plink 도구를 다운로드하여 적이 제어하는 인프라로 원격 터널을 만들고, 네트워크 정찰을 수행하고, 측면 이동을 용이하게 하고, 사용자와 시스템을 발견하고, 데이터를 빼내는 것이 포함됩니다.

우크라이나의 주요 기관을 표적으로 삼은 이 특정 공격 시리즈는 UAT-5647의 이중 전략과 일치하는 것으로 보입니다. 첫째, 장기적 접근을 확립하고 장기간 데이터를 추출하여 간첩 목적을 달성하는 것이고, 둘째, 랜섬웨어 배포로 전환하여 작전을 방해하고 침해를 통해 재정적 이익을 얻는 것입니다.

또한 맬웨어가 수행한 키보드 언어 검사를 통해 알 수 있듯이 폴란드 기업도 타깃이 되었을 가능성이 높습니다.

우크라이나는 정교한 맬웨어 공격의 표적이 되고 있다

이 발표는 우크라이나 컴퓨터 비상 대응팀(CERT-UA)이 Remcos RAT , SectopRAT, Xeno RAT, Lumma Stealer, Mars Stealer , Meduza Stealer를 포함한 다양한 맬웨어 계열을 사용하여 민감한 정보와 자금을 표적으로 삼는 UAC-0050이라는 위협 행위자가 수행하는 사이버 공격에 대한 경고에 따른 것입니다.

UAC-0050의 금융 도난 작전은 우크라이나 기업과 개인 사업가의 자금을 훔치는 데 중점을 둡니다. 이는 Remcos 및 TEKTONITRMS와 같은 원격 제어 도구를 통해 회계사의 컴퓨터에 무단으로 액세스하여 달성됩니다.

2024년 9월과 10월 사이에 UAC-0050은 최소 30건의 공격을 실행했는데, 여기에는 원격 뱅킹 시스템을 통해 수만 UAH에서 수백만 UAH에 이르는 금액의 가짜 금융 거래를 만드는 것이 포함되었습니다.

또한 CERT-UA는 텔레그램 메시징 플랫폼의 @reserveplusbot 계정을 통해 사기성 메시지를 퍼뜨리려는 시도가 있었음을 보고했는데, 이는 특수 소프트웨어를 설치한다는 명목으로 Meduza Stealer 맬웨어를 배포하려는 것이었습니다.