INITECH 프로세스를 악용하는 라자루스 공격 그룹의 신종 악성코드

APT 2年前 (2022) admin

1,344 0 0

안랩 ASEC 분석팀은 2022년 1분기에 방산 업체를 포함한 약 47개의 기업 및 기관이 라자루스 그룹에서 유포 중인 악성코드에 감염되고 있는 정황을 파악하고, 이를 심각하게 판단해 모니터링 하고 있다.

피해 업체들에서는 INITECH사 프로세스(inisafecrosswebexsvc.exe)에 의해 악성 행위가 발생되는 것이 확인됐다.

피해 시스템에서 inisafecrosswebexsvc.exe에 대해 다음과 같은 내용을 우선 확인했다.

inisafecrosswebexsvc.exe 파일은

INITECH사의 보안 프로그램인 INISAFE CrossWeb EX V3의 실행 파일이다.
정상 파일과 같은 해시값을 가진다. (MD5:4541efd1c54b53a3d11532cb885b2202)
INITECH사에 의해 정상 서명된 파일이다.
INISAFE Web EX Client로 침해 시점 이전부터 시스템에 설치되어 있었으며, 변조의 흔적 또한 발견되지 않았다.
시스템 부팅 시 iniclientsvc_x64.exe에 의해 실행되는데, 침해 당일에도 같은 방식으로 실행됐다.

확인된 inisafecrosswebexsvc.exe 파일은 변조되지 않은 정상 파일이며, 당시 프로세스 실행 이력과, 악성코드인 SCSKAppLink.dll의 코드를 확인한 결과 SCSKAppLink.dll이 inisafecrosswebexsvc.exe에 인젝션돼 동작한 것으로 파악됐다.

SCSKAppLink.dll에는 인젝션된 호스트 프로세스에 따라 분기하는 코드가 포함돼 있다. 분기 코드에는 inisafecrosswebexsvc.exe 프로세스에 인젝션되어 동작하는 경우 hxxps://materic.or.kr/include/main/main_top.asp?prd_fld=racket에 접속해 추가 악성코드를 다운로드하고 실행하도록 작성되어 있다.

그외 나머지 분기에는 svchost.exe, rundll32.exe, notepad.exe 에 인젝션 여부를 판단하도록 돼있으나, 해당 분기문에는 실행 코드가 포함되지 않은 것으로 보아 완성된 악성코드는 아닌 것으로 보여진다.

SCSKAppLink.dll이 인젝션된 inisafecrosswebexsvc.exe는 악성코드 배포지에 접속한 뒤, 인터넷 임시폴더 경로에 다운로더 악성코드 main_top[1].htm 파일을 다운로드하고, SCSKAppLink.dll로 복사했다.

다운로드 경로 : c:\users\<사용자>\appdata\local\microsoft\windows\inetcache\ie\zlvrxmk3\main_top[1].htm
복사된 경로 : C:\Users\Public\SCSKAppLink.dll

INITECH 프로세스를 악용하는 라자루스 공격 그룹의 신종 악성코드 — 그림 1. SCSKAppLink.dll 의 호스트 프로세스에 따른 분기 코드

이와 동일한 악성코드가 몇일전 시만텍사의 블로그에 언급됐다. 지난 4월 15일에 게시된 “Lazarus Targets Chemical Sector”라는 제목의 블로그에는 라자루스 공격 그룹이 화학 섹터를 공격한 내용을 다루고 있다. 라자루스의 공격이 국내 방산, 화학 등 주요 업계를 대상으로 확대되고 있는 것으로 보인다. (https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/lazarus-dream-job-chemical)

안랩은 SCSKAppLink.dll을 라자루스 공격 그룹이 제작한 악성코드로 판단하고, 관련된 악성코드를 지속해서 추적하고 있다. 현재까지 파악된 관련 악성코드의 IOC는 다음과 같다.

[파일 진단]