가장 가까운 이웃 공격: 러시아 스파이의 새로운 기술 사용

최근 언론 보도 는 사이버 보안 회사인 Volexity를 인용해 러시아 스파이가 전례 없는 공격 기법을 사용했다고 주장했습니다. 현재 가장 가까운 이웃 공격이라고 불리는 가장 가까운 이웃 공격 은 주변 Wi-Fi 네트워크를 악용하여 은밀한 액세스에 활용합니다. 이 문서에서는 위협 행위자가 네트워크를 활용하는 방법, 가장 가까운 이웃 공격의 여러 단계에 대해 설명합니다. 가장 가까운 이웃 공격및 보호 강화에 사용할 수 있는 위험 완화 프로토콜에 대해 설명합니다. 시작하겠습니다!

가장 가까운 이웃 공격: 초기 발견

가장 가까운 이웃 공격의 최초 발견 가장 가까운 이웃 공격 의 최초 발견은 고객 사이트에서 사용자 지정 탐지 시그니처를 발견한 2022년 2월로 거슬러 올라갑니다. 이 신호는 고객 네트워크의 서버가 손상되었음을 나타냅니다. 조사 과정에서 숙련되고 동기가 부여된 지능형 지속 위협(APT) 공격자가 발견되었습니다.

보고서에 따르면 위협 행위자는 이 사건 이전에는 Volexity에 노출되지 않았던 새로운 공격 벡터를 활용하고 있었습니다. 조사가 종료된 후 공격의 배후에 있는 주체가 GruesomeLarch로 추적된 러시아 위협 행위자라는 사실이 밝혀졌습니다. 이 위협 행위자는 공개적으로 다음과 같이 알려져 있습니다:  

• APT28.
• 포레스트 블리자드.
• 부드러움. 
• 팬시 베어.

또한 가장 가까운 이웃 공격 위협 행위자가 우크라이나 관련 프로젝트에 대한 전문 지식과 관여도가 있는 개인으로부터 데이터를 수집하기 위해 조직을 표적으로 삼았다는 사실도 확인되었습니다. APT 공격자는 기업 Wi-Fi 네트워크에 연결하여 표적 조직의 네트워크에 침입했습니다. 귀중한 인사이트를 제공하는 전문가 는 다음과 같이 말했습니다. 그:

"위협 행위자는 데이지 체인 방식으로 접근하여 의도한 표적인 A 조직과 가까운 곳에 있는 여러 조직을 침해했습니다." 이는 피해자와 수천 마일 떨어져 있고 바다를 사이에 두고 있는 위협 행위자가 수행한 것입니다. Volexity는 이러한 공격 방식을 설명하는 용어를 알지 못하며, 이 공격 방식을 가장 가까운 이웃 공격."

GRU Wi-Fi 침해 세부 정보

명백한 거리 차이에도 불구하고, 위협 행위자는 유효한 인증 정보를 입수함으로써 대상 조직의 네트워크에 인증하는 데 성공했습니다. 이러한 인증 정보를 입수하기 위해, 조직 네트워크 내의 대외 공개 서비스를 대상으로 비밀번호 무차별 대입 공격를 가했습니다. 이 서비스가 자격 증명 유효성 검사에 사용되었다는 점은 주목할 만합니다. 

여기서 중요한 점은 조직이 MFA(다단계 인증)를 사용했다면 사고를 피할 수 있었다는 점입니다. 하지만 인증에는 사용자의 유효한 도메인 사용자 이름과 비밀번호만 필요했습니다. 해커는 지리적 거리를 극복하기 위해 먼저 공격 대상과 가까운 건물에 있는 다른 조직을 침해했습니다. 가장 가까운 이웃 공격.

Volexity의 전문가들은 인사이트를 제공하면서 해커의 전략이 다음과 같다고 말했습니다:  

"다른 조직을 침입한 다음 해당 조직 내에서 측면으로 이동하여 이중으로 홈이 설정된 시스템에 액세스할 수 있는 시스템을 찾습니다. 이러한 시도가 성공하여 유선 이더넷 연결을 통해 네트워크에 연결된 시스템을 찾으면 위협 행위자는 해당 시스템에 액세스하여 Wi-Fi 어댑터를 사용합니다."

표적 시스템에 대한 액세스 권한을 얻은 후에는 가장 가까운 이웃 공격 해커는 조직의 엔터프라이즈 Wi-Fi의 SSID에 연결했습니다. 이렇게 하면 인증이 보장될 뿐만 아니라 러시아 스파이 해커가 네트워크에 액세스할 수 있게 됩니다.

해커가 한 조직을 손상시킨 다음 크리덴셜 스터핑 공격을 수행하여 해당 조직의 Wi-Fi 네트워크를 사용하여 근접한 다른 조직을 침해하는 것은 새로운 유형의 공격입니다. 이러한 전술이 성공할 수 있었던 이유는 MFA가 없었기 때문에 해커가 나중에 악용될 연결을 개발하기 위해 충족해야 하는 유일한 요건은 유효한 자격 증명과 근접성뿐이었기 때문입니다.

침해 이후 위협 행위자의 활동 

가장 가까운 이웃 공격과 관련된 알림을 받은 후 가장 가까운 이웃 공격에 대한 경고를 받은 후 보안 전문가들은 루트에서 작성되고 실행되는 파일을 찾기 시작했습니다. "C:\ProgramData 디렉토리." 그 결과 발견된 해커의 활동은 다음과 같습니다:

• 파일 이름은 "C:\ProgramData\servtask.bat" 파일이 작성되고 실행됩니다.
• Microsoft 명령줄 레지스트리 유틸리티와 여러 명령을 실행하기 위한 PowerShell을 호출하는 "servtask.bat"이라는 파일이 포함되어 있습니다:
  • reg save hklm\sam C:\ProgramData\sam.save
  • reg 저장 hklm\보안 C:\ProgramData\보안.save
  • reg save hklm\system C:\ProgramData\system.save
  • Powershell -c "Get-ChildItem C:\ProgramData\sam.save, C:\ProgramData\security.save, C:\ProgramData\system.save ^| Compress-Archive -DestinationPath C:\ProgramData\out.zip"

민감한 레지스트리 하이브가 ZIP 파일로 내보내져 압축된 것을 확인한 보안팀은 EDR 이벤트 기록, 시스템 메모리 및 주요 디스크 속성을 조사하기 시작했습니다. 그 결과 다음과 같은 사실을 발견했습니다:  

• 서버의 권한이 없는 사용자 계정에서 RDP를 통해 로그인이 발생했습니다.
• 파일 이름은 "DefragmentSrv.zip" 이라는 파일이 해당 사용자의 디렉토리에 있었고 시스템의 WinRAR GUI 버전을 통해 아카이브되지 않은 상태였습니다.
• 두 개의 파일 이름 "DefragmentSrv.exe" 과 "DefragmentSrv.bat" 이라는 두 개의 파일도 작성 및 실행되어 궁극적으로 "servtask.bat" 이 작성되고 실행되었습니다.
• 파일 이름은 "wayzgoose52.dll" 이라는 파일도 가짜 디렉터리에 작성되었습니다. “C:\ProgramData\Adobe\v3.80.15456.”

전문가들은 가장 가까운 이웃의 공격 활동에 대한 추가 인사이트를 제공한다고 밝혔습니다:

"공격자는 파일을 안전하게 삭제하여 흔적을 은폐하는 Cipher.exe라는 기본 Microsoft 유틸리티를 실행했습니다. 공격자가 포렌식 방지 방법으로 흔적을 은폐한 것은 이번이 처음은 아니지만, Cipher.exe 유틸리티를 사용한 것은 Volexity가 처음입니다."

러시아 군 해커에 대한 완화 조치

조사가 진행되는 동안 Volexity는 침해된 조직과 협력하여 공격 완화 및 예방을 위한 다양한 이니셔티브를 취했습니다. 이러한 이니셔티브에는 대응책을 구현하고 이전에는 로깅 및 네트워크 가시성이 없었던 영역을 개선하는 것이 포함됩니다. 

이러한 프로토콜을 통해 보안 전문가들은 다음 사항에 대해 보다 심층적으로 이해할 수 있었습니다. 가장 가까운 이웃 공격. 자격 증명이 재설정되었음에도 불구하고 가장 가까운 이웃 공격 해커는 다시 한 번 조직의 엔터프라이즈 Wi-Fi에 액세스할 수 있었습니다.

그러나 조사 중에 배포된 로깅 및 네트워크 가시성 프로토콜을 통해 전문가들은 Wi-Fi에 연결된 시스템과 관련된 모든 활동에서 전체 패킷 캡처를 시작할 수 있었습니다. 캡처된 패키지에 포함된 내용에 대해 전문가들은 다음과 같이 설명했습니다: 

"이 패킷 캡처를 분석한 결과 공격자의 시스템은 컴퓨터 이름과 해당 컴퓨터가 가입한 활성 디렉터리 도메인을 알려주는 NBNS(NetBIOS 이름 서비스) 쿼리를 전송한 것으로 나타났습니다. 이 활성 디렉터리 도메인을 통해 공격자가 정확히 어디에서 연결했는지 알 수 있었는데, 바로 길 건너편에 위치한 조직("조직 B")으로 밝혀졌습니다."

추가 인사이트를 통해 사고의 데이터 대부분이 공격자의 시스템으로 다시 복사되었다는 사실이 밝혀졌습니다. 그러나 어떤 경우에는 가장 가까운 이웃 공격 해커가 공개 웹 서버의 디렉터리에 데이터를 저장한 다음 외부 다운로드를 통해 파일을 유출한 경우도 있었습니다.

이는 공격자가 다양한 유형의 침해에 사용하는 일반적인 기법이라는 점에 주목할 필요가 있습니다. 이러한 활동에 대한 프로토콜 모니터링은 어려울 수 있습니다. 하지만 웹 서버의 예기치 않은 파일이나 대용량 파일 전송을 모니터링할 수 있다면 기회가 있습니다. 웹로그의 적절한 기능을 보장하는 것도 이러한 활동을 식별하는 데 도움이 될 수 있습니다. 

결론 

가장 가까운 이웃의 가장 가까운 이웃 공격 은 근접 기반 침해와 정교한 자격 증명 도용 및 포렌식 방지 전술을 결합한 사이버 스파이 활동의 놀라운 진화를 나타냅니다. APT28과 같은 해커는 MFA 부재와 같은 약점을 악용하고 주변 네트워크를 활용하여 지능형 위협이 어떻게 민감한 데이터를 정밀하게 표적으로 삼을 수 있는지 보여줍니다.

조직은 반드시 강력한 대응책를 채택하여 다단계 인증, 향상된 네트워크 가시성, 철저한 로그 분석을 통해 위험을 완화해야 합니다. 사이버 위협이 계속 진화하면서 기존 보안 방어의 경계를 허물고 있기 때문에 이와 같은 새로운 기법에 대한 경계는 매우 중요합니다.

이 글의 출처에는 다음 기사가 포함됩니다. Wired 과 Volexity.