TinyNote 백도어
카마로 드래곤(Camaro Dragon)이라는 중국 국가 그룹이 정보 수집 목표에 부합하는 새로운 백도어 생성과 다시 한 번 연결되었습니다. TinyNote로 알려진 이 백도어는 Go 프로그래밍 언어를 사용하여 구축되었습니다. TinyNote는 고급 수준의 정교함을 나타내지 않을 수 있지만 손상된 호스트에 대한 지속적인 액세스를 보장하는 다양한 전략을 사용하여 이를 보완합니다.
TinyNote는 1단계 페이로드로 작동하며 주로 기본 머신 열거를 수행하고 PowerShell 또는 고루틴을 사용하여 명령을 실행하는 데 중점을 둡니다. 맬웨어는 손상된 시스템에서 발판을 유지하기 위해 여러 가지 방법을 사용합니다. 여기에는 여러 지속성 작업을 수행하고 다양한 기술을 활용하여 서버와 통신하는 것이 포함됩니다.
Camaro Dragon의 목표는 손상된 호스트 내에서 탄력적이고 지속적인 존재를 유지하여 인텔리전스를 수집하고 잠재적으로 추가 악의적인 활동을 실행할 수 있는 능력을 극대화하는 것으로 보입니다. 카마로 드래곤 활동은 사이버 보안 커뮤니티에서 머스탱 판다로 추적한 위협 행위자의 행동과 겹친다는 점은 주목할 가치가 있습니다. Mustang Panda는 또한 적어도 2012년 이후로 부지런했음을 나타내는 징후가 있는 중국의 국가 후원 사이버 범죄 그룹으로 여겨집니다.
정부 대사관을 표적으로 삼는 TinyNote 백도어
TinyNote Backdoor의 유포는 'PDF_초청 외교단 연락처 목록'과 같이 외교와 관련된 파일명을 사용하고 있다. 공격 캠페인은 동남아시아 및 동아시아 대사관을 표적으로 삼는 데 의도적으로 초점을 맞추고 있음을 보여줍니다.
이 특정 맬웨어의 중요한 측면 중 하나는 인도네시아에서 일반적으로 사용되는 바이러스 백신 솔루션인 Smadav의 탐지를 회피하는 기능입니다. 이 기능은 피해자의 환경과 지역 전체에 대해 공격자가 보유한 철저한 준비와 광범위한 지식을 보여줍니다.
TinyNote 백도어의 배포는 Camaro Dragon 작전의 표적 특성과 그들이 의도한 피해자의 시스템에 침투하기 전에 그들이 수행하는 광범위한 연구를 보여줍니다. 다양한 수준의 기술적 정교함을 갖춘 다른 도구와 함께 이 백도어를 동시에 활용함으로써 위협 행위자는 공격 무기를 다양화하려는 적극적인 노력을 보여줍니다.
사이버 범죄자는 계속해서 기술을 확장하고 발전시켜 무기고를 위협합니다.
이러한 발견은 카마로 드래곤이 사용하는 고급 전술을 조명하고, 효율성을 극대화하고 목표를 달성하기 위해 기술을 적용하려는 전략적 접근 방식과 노력을 강조합니다. TinyNote Backdoor의 배포는 그룹이 특정 대상에 집중하고 진화하는 사이버 위협 환경에서 앞서 나가기 위한 지속적인 노력을 강조합니다.
Mustang Panda는 Horse Shell로 알려진 맞춤형 펌웨어 임플란트를 개발하여 주목을 받았습니다. 이 임플란트는 특히 TP-Link 라우터를 대상으로 C2(Command-and-Control) 서버와 감염된 장치 간에 명령을 전송할 수 있는 메시 네트워크로 변환합니다.
기본적으로 이 임플란트의 목적은 손상된 홈 라우터를 중간 인프라로 활용하여 유해한 활동을 난독화하는 것입니다. 그렇게 함으로써 공격자는 감염된 컴퓨터와의 통신이 다른 노드에서 시작된 것처럼 보이게 하는 네트워크를 생성하여 작업에 복잡성을 추가합니다.
최근 조사 결과는 공격자의 회피 전술의 발전과 정교함뿐만 아니라 표적 전략의 지속적으로 진화하는 특성을 강조합니다. 또한 공격자는 다양한 대상의 방어를 뚫기 위해 맞춤화된 다양한 맞춤형 도구를 사용하여 포괄적이고 적응적인 접근 방식을 사용하겠다는 약속을 강조합니다.
이러한 발전은 사이버 범죄 그룹이 탐지를 피하고 광범위한 대상을 손상시키는 기술과 도구를 지속적으로 개선함에 따라 증가하는 복잡성과 능력을 보여줍니다. Horse Shell 펌웨어 임플란트의 사용은 기존 인프라를 위협적인 목적으로 용도 변경하는 그들의 독창성을 보여 주며, 방어자가 이러한 정교한 위협을 탐지하고 완화하는 데 직면한 문제를 증폭시킵니다.
