TCESB 맬웨어
아시아 전역에서 사이버 공격을 감행하는 것으로 알려진 중국계 위협 세력이 ESET 보안 소프트웨어의 취약점을 악용하여 이전에는 문서화되지 않았던 TCESB라는 코드명의 악성코드를 유포하는 것으로 확인되었습니다. 새롭게 발견된 이 악성코드는 보안 조치를 우회하고 탐지되지 않은 페이로드를 실행하도록 설계되었습니다.
목차
ToddyCat: 아시아에서 끊임없이 위협적인 존재
고급 위협 그룹인 ToddyCat은 최소 2020년 12월부터 활동해 왔으며, 아시아 여러 기관을 표적으로 삼고 있습니다. 최근 조사 결과, ToddyCat은 다양한 도구를 사용하여 손상된 시스템에 지속적으로 접근하고 아시아 태평양 지역 기관으로부터 방대한 양의 데이터를 수집하는 것으로 드러났습니다.
결함 악용: DLL 하이재킹 기술
2024년 초 ToddyCat 관련 사건을 조사하던 보안 연구원들은 감염된 여러 기기의 임시 디렉터리에서 'version.dll'이라는 의심스러운 DLL 파일을 발견했습니다. TCESB로 확인된 이 파일은 DLL 검색 순서 하이재킹(DLL Search Order Hijacking)을 통해 배포되었는데, 이 기법은 공격자가 정상적인 DLL 파일을 대체하여 프로그램 실행을 제어할 수 있도록 합니다.
이 공격은 ESET 명령줄 스캐너의 취약점을 악용하는데, 이 취약점은 'version.dll' 파일을 안전하지 않게 로드합니다. 시스템 디렉터리에서 정상 버전을 로드하는 대신, 먼저 현재 디렉터리를 확인하여 공격자에게 악성 DLL을 삽입할 기회를 제공합니다.
CVE-2024-11859: 악용된 취약점
CVE-2024-11859(CVSS 점수: 6.8)로 추적된 이 취약점은 관리자 권한을 가진 공격자가 안전하지 않은 코드를 실행할 수 있도록 허용했습니다. 그러나 이 취약점 자체는 관리자 권한을 부여하지 않았습니다. 공격자는 이미 관리자 권한이 있어야 이 취약점을 악용할 수 있었습니다. ESET은 2025년 1월에 이 취약점을 패치하고 Windows용 소비자, 기업 및 서버 보안 제품에 대한 업데이트를 배포했습니다.
EDRSandBlast 무기화: TCESB가 보안 보호 기능을 비활성화하는 방법
TCESB는 오픈 소스 도구인 EDRSandBlast의 수정된 버전입니다. 커널 구조를 조작하여 프로세스 생성이나 레지스트리 변경과 같은 중요한 이벤트를 시스템 드라이버에 알리는 핵심 기능인 알림 루틴(콜백)과 같은 보안 메커니즘을 비활성화합니다.
이를 위해 TCESB는 잘 알려진 BYOVD(Bring Your Own Vulnerable Driver) 기법을 사용하여 장치 관리자 인터페이스를 통해 취약한 Dell 드라이버(DBUtilDrv2.sys)를 설치합니다. 이 드라이버는 권한 상승 취약점인 CVE-2021-36276의 영향을 받습니다.
Dell 드라이버: 반복되는 약점
Dell 드라이버가 사이버 공격에 악용된 것은 이번이 처음이 아닙니다. 2022년에는 북한과 연계된 라자루스 그룹이 또 다른 Dell 드라이버 취약점(CVE-2021-21551)을 악용하여 보안 메커니즘을 무력화했습니다. 공격자들은 오래되었거나 취약한 드라이버를 계속해서 악용하여 보안 조치를 우회하고 있습니다.
TCESB의 실행 전략
취약한 드라이버가 설치되면 TCESB는 현재 디렉터리에서 특정 이름의 페이로드 파일을 2초마다 지속적으로 확인합니다. 페이로드가 처음에 없으면 TCESB는 페이로드가 나타날 때까지 기다립니다. 그런 다음 AES-128로 암호화된 페이로드를 디코딩하여 실행합니다.
탐지 및 예방 조치
- 이러한 위협에 대응하려면 보안팀은 다음을 수행해야 합니다.
- 특히 취약한 드라이버와 관련된 드라이버 설치 이벤트를 모니터링합니다.
- 특히 커널 디버깅이 예상되지 않는 시스템에서는 의심스러운 커널 디버깅 활동에 주의하세요.
- 알려진 취약점에 대한 패치를 포함하여 모든 보안 소프트웨어가 최신 상태로 업데이트되었는지 확인하세요.
- 공격자가 이러한 취약점을 악용하지 못하도록 관리자 권한을 제한하세요.
사이버 위협 행위자가 계속해서 진화함에 따라, ToddyCat이 수행한 것과 같은 정교한 공격을 방어하기 위해서는 경계를 늦추지 않고 사전 예방적 보안 조치를 실행하는 것이 중요합니다.
