“솔라윈즈 공격 배후였던 러시아 그룹, 나토·EU 기관 공격 중” 폴란드 보안 기관

APT29 스파이 캠페인이 지속되고 있다. 폴란드 당국이 잠재적 표적일 수 있는 기관에 대응을 촉구하고 있다.
 

폴란드 정부가 러시아 정보기관과 연계된 것으로 추정되는 사이버 스파이 그룹의 공격을 경고했다. 해당 그룹이 알려지지 않은 맬웨어 페이로드를 사용한 캠페인을 통해 나도 및 EU 회원국의 외교 조직을 노리고 있다는 주장이다.

설명에 따르면 이 그룹은 러시아 해외정보국(SVR) 소속으로 추정된다. 2020년 소프트웨어 회사 솔라윈즈에 대한 공급망 공격으로 전 세계 수천 개의 조직이 침해된 사건의 배후로 지목된 조직이기도 하다. 

폴란드 군사 방첩국(Military Counterintelligence Service)과 CERT 폴란드(CERT.PL)가 발견한 새로운 공격 캠페인에서 APT29 해커들은 스피어 피싱 이메일을 통해 외교 공관의 일부 직원을 노렸다. 유럽 국가들의 대사관에서 보낸 회의 초대 또는 문서 공동 작업을 요청하는 메시지로 위장해서였다. 

이메일에는 외부 캘린더, 회의 세부 정보 또는 업무 파일처럼 보이는 링크가 포함된 PDF 첨부 파일이 포함되어 있었으며, 이 링크는 이 링크는 자바스크립트 코드를 사용하여 페이로드를 디코딩하고 다운로드할 수 있는 웹 페이지로 연결돼 있었다. HTML 스머글링이라는 기법에 해당하는 이 스크립트는 .ISO, .ZIP 또는 .IMG 포맷의 파일로 전달됐다. 

DLL 사이드로드를 사용하는 공격 캠페인
APT29는 이전에도 악성코드 유포에 .ISO 파일을 사용한 적이 있다. 하지만 .IMG(디스크 이미지) 파일은 이번에 새롭게 사용된 것이다. ISO 파일과 IMG 파일은 모두 윈도우에서 열면 가상 디스크로 자동 마운트된다. 이번 공격에서 파일은 정상적인 실행 파일을 실행하는 윈도우 바로 가기(LNK)로, 악성 DLL을 로드한다. 

DLL 사이드로드라고 불리는 이 기법을 이용하면 공격자는 동일한 디렉토리에서 특정 이름의 DLL 라이브러리를 로드하는 것으로 알려진 합법적인 애플리케이션에 속하는 실행 파일을 전달함으로써 메모리에 악성 코드를 로드할 수 있게 된다. 결과적으로 합법적 파일을 화이트리스트로 지정한 보안 도구의 탐지를 회피할 수 있다. 

이번 공격의 첫 번째 페이로드는 폴란드 연구원들이 스노우얌버(SNOWYAMBER)라고 부르는 맞춤형 맬웨어 드롭퍼다. 이 프로그램은 컴퓨터에 대한 기본 정보를 수집하고 온라인 작업 공간 협업 서비스인 Notion.so에서 호스팅되는 명령 및 제어 서버에 연결되는 경량 프로그램이다. 이 드로퍼의 목표는 추가 맬웨어를 다운로드하고 실행하는 것이며, 연구원들은 APT29 공격자들이 이 드로퍼를 사용하여 코발트 스트라이크와 브루트 라텔 비콘을 배포하는 것을 확인했다. 두 가지 모두 침투 테스터를 위한 상업적 익스플로잇 후 프레임워크이지만 공격자들도 이를 채택하고 있다.

스노우얌버의 변종은 2022년 10월에 레코디드 퓨처 의해 처음 탐지됐다. 2023년 2월 폴란드 연구진은 추가적인 탐지 방지 루틴을 갖춘 새로운 변종을 발견했다. 

한편 스노우얌버 외에도 APT29가 사용하는 맬웨어 드롭퍼는 더 있다. 2월에 이 그룹은 HALFRIG라는 또 다른 페이로드를 사용하는 것이 확인됐다. 코발트 스트라이크를 배포하는 데 사용된 도구다. 차이점은 명령 및 제어 서버에서 다운로드하는 대신 셸코드에서 복호화했다는 것이다. 3월에는 코드베이스의 일부를 할프릭과 공유하는 쿼터리그(QUARTERRIG)라는 또 다른 툴을 사용하는 해커가 목격됐다.

이렇듯 비교적 짧은 기간에 여러 개의 드롭퍼를 사용하는 것은 공격자들이 빠르게 적응하고 공격 도구를 교체하고 있음을 시사한다. 

APT29 스파이 캠페인은 현재 진행형
폴란드 정부는 권고문에서 "보고서 발행 시점에 이 캠페인은 여전히 진행되고 있으며 고도화되고 있다”라고 밝혔다. 폴란드 정부는 “진행 중인 스파이 캠페인을 차단하고, 동맹국에 대한 추가 작전 비용을 부과하며, 영향을 받는 당사자와 더 넓은 사이버 보안 업계가 활동을 탐지, 분석 및 추적할 수 있도록 하기 위해 권고문을 발표한다"라고 설명했다.

APT29의 관심 대상 목록에는 정부 기관, 외교 기관(외교부, 대사관, 외교 직원 및 국제 기관에서 일하는 사람들), 국제기구 및 비정부기구가 포함된다. 공격은 주로 유럽연합과 나토 기관에 집중되었지만 아프리카에서도 일부 표적이 관찰됐다.
폴란드 군사 방첩국과 CERT.PL은 공격 대상이 될 수 있다고 생각되는 조직에 다음과 같은 방어 조치를 취할 것을 권장했다.:

- 대부분의 사용자는 이 기능을 필요로 하지 않으므로 파일 시스템에 디스크 이미지를 마운트하는 기능을 차단한다.
- 관리자 역할이 있는 사용자가 디스크 이미지 파일을 마운트하는 것을 모니터링한다.
- 공격 표면 감소 규칙을 활성화하고 구성한다.
- 소프트웨어 제한 정책을 구성한다.
- 비정상적인 위치(특히 임시 디렉터리, %localappdata%, 하위 디렉터리 및 외부 미디어)에서 실행 파일을 시작할 가능성을 차단한다.

이번 폴란드 정부의 권고에는 알려진 맬웨어 샘플에 대한 탐지를 구축하는 데 사용할 수 있는 손상 지표도 포함되어 있다. ciokr@idg.co.kr