“캑터스 랜섬웨어 그룹, 합법적 원격 관리 도구 활용해 지속성 확보”

한 사이버 범죄 그룹이 지난 두 달 동안 여러 기업의 네트워크에 침투해 ‘캑터스’(CACTUS)라고 불리는 새 랜섬웨어를 배포하고 있다. 특히 VPN 어플라이언스 취약점을 악용해 접근 권한을 획득한 후 다른 시스템으로 횡이동했으며, 합법적인 원격 모니터링 및 관리(RMM) 도구를 배포해 지속성을 확보한 것으로 분석되고 있다. 
  Ugur Akdemir (CC0)

크롤 사이버 위협 인텔리전스의 연구원들은 이 같은 내용을 다룬 새 보고서에서 ‘캑터스'라는 이름이 랜섬노트에 제공된 파일 이름인 ‘cAcTuS.readme.txt’와 랜섬노트 자체 이름에서 파생됐다고 설명했다. 

연구진에 따르면 암호화된 파일은 ‘.cts1’로 끝나는데, 확장자 끝의 숫자는 사고와 피해자에 따라 달라지고 있었다. 크롤은 ‘톡스’(Tox)라는 P2P 메시징 서비스를 통해 민감한 데이터가 유출되는 것을 확인했지만, 분석 시점까지는 알려진 피해자 유출 사이트가 확인되지 않았다고 전했다. 

크롤이 조사한 모든 사례에서, 공격자는 서비스 계정을 사용해 VPN 어플라이언스에 초기 거점을 확보한 다음, 명령 및 제어(C2) 서버에 다시 접근해 SSH 백도어(예약 작업을 통해 실행)를 배포했다. 

이후 해당 활동은 소프트퍼펙트라는 호주 기업에서 만든 상용 윈도우 네트워크 스캐너를 사용한 네트워크 정찰로 이어졌다. 네트워크에 있는 컴퓨터를 탐색하고 윈도우 보안 이벤트 로그에서 사용자 계정을 추출하기 위해 추가 파워셸 명령과 스크립트가 사용됐다. PSnmap.ps1이라는 또 다른 파워셸 기반 네트워크 스캐닝 스크립트도 일부 사례에서 관찰됐다.

이 그룹은 앞선 작업을 통해 LSASS 자격 증명을 덤프하고 암호가 포함되어 있을 수 있는 로컬 파일을 검색하여 원격 데스크톱 프로토콜(RDP) 및 기타 방법을 통해 다른 시스템으로 이동할 수 있는 계정을 식별했다. 

공격자는 감염된 시스템을 지속적으로 제어하기 위해 ‘Splashtop’, ‘AnyDesk’, ‘SuperOps’와 같은 RMM 도구와 ‘코발트 스트라이트 임플란트’나 ‘치즐 SOCKS5’ 프록시를 배포했다. 참고로 합법적인 RMM 툴을 남용하는 것은 위협 행위자들이 흔히 사용하는 기법이다. 

크롤 연구진은 “치즐은 방화벽을 통해 트래픽을 터널링하여 위협 행위자의 C2에 숨겨진 통신 기능을 구현할 수 있다. 또 추가 스크립트와 툴을 엔드포인트로 가져오는 데 사용될 수 있다"라고 설명했다.

한편 이러한 스크립트 중 하나는 일반적인 바이러스 백신 프로그램 제거를 시도하기 위해 ‘Windows msiexec’ 도구를 사용했다. 한 경우에는 공격자가 비트디펜더 제거 도구까지 사용한 것으로 분석됐다. 

캑터스 랜섬웨어 배포
이 그룹은 민감한 데이터가 있는 시스템을 식별한 후 R클론 툴을 사용하여 클라우드 스토리지 계정으로 정보를 유출하고 랜섬웨어 프로그램을 배포한다. 이를 위해 블랙바스타 랜섬웨어의 배후의 사이버 범죄자들도 사용했던 ‘TotalExec.ps1’이라는 스크립트를 활용했다.

먼저, 공격자는 시스템에 새 관리자 사용자 계정을 생성하고 시스템의 자동 실행 목록에 f2.bat이라는 보조 스크립트를 추가하는 f1.bat이라는 배치 스크립트를 배포한다. 이 스크립트는 7zip 압축 파일에서 랜섬웨어 바이너리를 추출하여 일련의 플래그와 함께 실행된다. PsExec 도구는 원격 시스템에서 바이너리를 실행하는 데도 사용된 것으로 분석됐다. 

랜섬웨어 바이너리는 설치, 구성 및 암호화의 3가지 실행 모드를 가지고 있다. 설정 모드에서는 랜섬웨어의 암호화된 구성 데이터로 채워진 ntuser.dat라는 파일(C:\ProgramData에 존재)을 생성한다. 그런 다음 랜섬웨어를 실행하는 예약된 작업을 생성한다.

암호화 플래그와 함께 실행되면 랜섬웨어 바이너리가 하드코딩된 RSA 공개 키를 추출하고 해독한다. 그런 다음 파일 암호화를 위한 AES 키 생성을 시작하고 해당 키는 RSA 공개 키로 암호화된다. 이 프로세스는 OpenSSL 라이브러리의 엔벨롭 임플리멘테이션을 활용하기에 결과 암호화 파일에는 파일을 암호화하는 데 사용된 암호화된 AES 키도 포함된다. AES 키를 복구하려면 사용자는 공격자가 보유한 개인 RSA 키를 입수해야 한다.

크롤 보고서에는 마이터 ATT&CK 프레임워크에 따른 전술, 기술 및 절차(TTP)에 대한 분석과 침해 지표가 포함되어 있다. 연구원들은 VPN 어플라이언스와 같이 외부에 노출된 시스템을 최신 상태로 유지하고, 비밀번호 관리자와 2단계 인증을 구현하라고 조언했다. 또 파워셸 실행 시스템을 모니터링하고 사용을 기록하며, 관리자 및 서비스 계정을 감사하는 한편 최소 권한 원칙을 구현하라고 덧붙였다. 아울러 기업 네트워크에서 격리된 백업을 하나 이상 포함하도록 백업 전략을 검토하라고 크롤 측은 전했다. ciokr@idg.co.kr