윈도우 백도어: 위협 행위자가 BIT를 C2 메커니즘으로 악용

윈도우 백도어: 위협 행위자가 BIT를 C2 메커니즘으로 악용하기

2024년 8월 13일 - 3분

이 블로그 글의 AI 요약으로 바로 가기

최근 보고서에 따르면, Elastic Security Labs의 사이버 보안 연구원들이 새로운 Windows 백도어를 발견했습니다. 이 백도어는 백그라운드 인텔리전트 전송 서비스(BITS)라는 기본 제공 기능을 활용하여 명령 및 제어 (C2) 메커니즘으로 사용합니다. 이 글에서는 Windows 백도어의 세부 사항을 자세히 살펴보고 이로 인한 위협에 대해 알아보겠습니다. 시작하죠!

BITS 윈도우 백도어 초기 발견

이용 가능한 정보에 따르면, 이 Windows 백도어는 2024년 6월 25일에 Elastic Labs의 보안 연구원들에 의해 확인되었습니다. 이 발견은 아직 특정되지 않은 남미 외무장관을 표적으로 삼은 공격과 관련하여 이루어졌다는 점을 여기서 언급할 필요가 있습니다.

현재 이 활동 클러스터는 REF8747이라는 이름으로 추적되고 있습니다. 연구원 세스 굿윈과 다니엘 스테파닉은 비슬로트 멀웨어 윈도우 백도어와 관련된 세부 정보를 제공하면서 다음과 같이 말했습니다:

"이 게시 시점의 가장 최신 백도어 반복 버전에는 키 로깅 및 화면 캡처 기능을 포함한 35개의 핸들러 기능이 있습니다. 또한 BITSLOTH에는 검색, 열거 및 명령줄 실행을 위한 다양한 기능이 포함되어 있습니다."

비트슬로트 멀웨어에 대한 이해

위협 행위자들이 데이터 수집에 사용하는 도구인 BITSLOTH는 2021년부터 개발이 중단된 상태입니다. Windows 백도어 BITSLOTH 멀웨어의 배후에 있는 공격자의 신원은 아직 알려지지 않았지만, 특정 로깅 기능과 문자열을 통해 작성자가 중국인일 가능성을 암시합니다.

이 연결 고리는 RingQ라는 또 다른 도구가 널리 사용되면서 더욱 강화되었습니다. 중국 사이버 스파이 위협 공격자들은 주로 RingQ를 사용하여 멀웨어를 암호화함으로써 탐지되지 않고 메모리에서 직접 복호화 및 실행할 수 있도록 합니다. 비슬로트 멀웨어의 경우, "flengine.dll"이라는 이름의 DLL 파일 형태로 존재합니다.

비트슬로트 멀웨어 공격 체인 및 기능

공격을 시작하기 위해 실행 파일과 짝을 이루는 사이드 로딩 기법을 사용하여 DLL 파일을 로드합니다. 이 실행 파일은 FL Studio(fl.exe)로 알려진 이미지 라인과 연결되어 있습니다. 이 외에도, 위협 행위자들은 BITSLOTH 멀웨어에 새로운 스케줄링 구성 요소를 추가했습니다.

이 구성 요소는 멀웨어가 표적 환경에서 작동해야 하는 시기를 제어할 수 있는 기능을 제공하며, 이 기능은 EAGERBEE와 같은 다른 멀웨어에서도 관찰되었습니다.

Windows 백도어 BITSLOTH 멀웨어의 기능에 관한 한, 다음과 같은 다양한 악의적 의도 기반 작업을 수행할 수 있습니다:

민감한 데이터 수집.
지속성 재구성.
임의 프로세스 종료하기.
파일 업로드 및 다운로드.
명령 실행 및 실행
키 로깅 및 화면 캡처.
장치를 다시 시작하거나 종료합니다.
열거 및 검색을 수행합니다.
타겟팅된 피해자의 디바이스에서 로그아웃합니다.
통신 모드를 HTTP 또는 HTTPS로 변경합니다.
손상된 시스템에서 스스로 업데이트 또는 삭제합니다.

사이버 위협에 대한 보호에 관심이 있다면 위협 행위자가 익스플로잇을 위해 Windows 백도어 BITS를 사용하는 것이 가능하다는 것을 이해해야 하며, BITS 네트워크 트래픽을 모니터링하기 어렵다는 점을 고려해야 합니다. 조직이 사이버 보안 전략을 개발할 때 이러한 인사이트를 염두에 두어야 한다는 점을 언급할 가치가 있습니다.