Cloudflare 터널을 악용해 RAT를 배포하는 위협 행위자

 (proofpoint.com)
2P by GN⁺ | ★ favorite | 댓글 1개
  • 2024년 2월부터 관찰된 사이버 범죄 활동이 TryCloudflare Tunnel을 악용해 악성코드를 배포했으며, 5~7월 활동이 늘고 최근 캠페인은 대부분 Xworm으로 이어짐
  • 공격은 이메일의 URL·첨부파일에서 .URL 파일로 유도한 뒤 WebDAV, LNK/VBS, BAT/CMD, Python 설치 패키지와 스크립트를 거쳐 RAT를 설치하는 흐름임
  • 6~7월에는 Xworm 비중이 높았지만 이전 캠페인에서는 AsyncRAT, VenomRAT, GuLoader, Remcos도 쓰였고, 일부 Python 스크립트는 여러 페이로드를 나눠 설치함
  • 캠페인은 수백~수만 건 규모로 전 세계 수십~수천 개 조직에 영향을 줬으며, 송장·문서 요청·배송·세금 같은 업무형 미끼와 여러 언어가 활용됨
  • 임시 Cloudflare 인프라와 Python 번들링은 차단과 테이크다운을 어렵게 하지만, 최종 실행까지는 링크 클릭·파일 실행·압축 해제 등 사용자 상호작용이 여러 번 필요함

TryCloudflare Tunnel 악용 방식

  • 이번 활동은 Cloudflare Tunnels를 악성코드 전달 인프라로 활용하는 사이버 범죄 클러스터임
  • 공격자가 악용한 기능은 계정 생성 없이 일회성 터널을 만들 수 있는 TryCloudflare임
  • 터널은 VPN이나 SSH처럼 로컬 네트워크 밖의 데이터와 리소스에 원격 접근하는 방식으로 동작함
  • TryCloudflare Tunnel을 사용할 때마다 trycloudflare[.]com의 무작위 하위 도메인이 생성됨
    • 예: ride-fatal-italic-information[.]trycloudflare[.]com
    • 해당 하위 도메인의 트래픽은 Cloudflare를 거쳐 운영자의 로컬 서버로 프록시됨
  • TryCloudflare Tunnel 악용은 2023년에 널리 쓰이기 시작했으며, 사이버 범죄 위협 행위자 사이에서 증가하는 추세임

공격 체인과 페이로드

  • 대부분의 캠페인은 메시지 안의 URL 또는 첨부파일이 인터넷 바로가기 .URL 파일로 이어짐
  • .URL이 실행되면 외부 파일 공유에 연결해 LNK 또는 VBS 파일을 내려받음
    • 외부 파일 공유는 일반적으로 WebDAV를 사용함
    • 일부 파일 스테이징은 search-ms 프로토콜 핸들러로 WebDAV 공유에서 LNK를 가져옴
  • 이후 LNK/VBS가 BAT 또는 CMD 파일을 실행하고, 이 파일이 Python 설치 패키지와 여러 Python 스크립트를 내려받아 악성코드 설치로 연결됨
  • 사용자가 정상 문서로 착각하도록 무해한 PDF를 함께 표시하는 경우가 일반적임
  • 6~7월에 관찰된 캠페인의 거의 전부는 Xworm을 전달함
    • 이전 캠페인에서는 AsyncRAT, VenomRAT, GuLoader, Remcos도 전달됨
    • 일부 캠페인은 여러 악성 페이로드로 이어지며, 각 Python 스크립트가 서로 다른 악성코드를 설치함

캠페인 규모와 미끼

  • 캠페인 메시지 규모는 수백 건에서 수만 건까지 다양함
  • 영향 범위는 전 세계 수십~수천 개 조직에 걸쳐 있음
  • 미끼 언어로는 영어 외에 프랑스어, 스페인어, 독일어가 관찰됨
  • Xworm, AsyncRAT, VenomRAT 캠페인은 Remcos 또는 GuLoader 전달 캠페인보다 대체로 더 큰 규모로 진행됨
  • 미끼 주제는 업무 맥락에서 열어볼 가능성이 높은 소재에 집중됨
    • 송장
    • 문서 요청
    • 배송
    • 세금

전술 변화와 탐지 회피

  • 캠페인의 전술·기술·절차는 전반적으로 일관되지만, 공격자는 공격 체인의 일부를 바꿔 정교함과 방어 회피를 높이려 함
  • 초기 캠페인의 헬퍼 스크립트는 난독화가 거의 없거나 전혀 없었음
    • 스크립트에는 코드 기능을 자세히 설명하는 주석도 포함됨
  • 2024년 6월부터는 코드에 난독화가 포함되기 시작함
  • 이 활동은 특정 추적 중인 위협 행위자에게 귀속되지 않았으며, 관련 캠페인의 TTP를 기준으로 하나의 활동 클러스터로 묶임

2024년 5월 28일 캠페인

  • 2024년 5월 28일 캠페인은 AsyncRAT와 Xworm을 전달함
  • 세금 주제 메시지에 URL이 포함됐고, 해당 URL은 압축된 .URL 파일로 이어짐
  • 표적은 법률 및 금융 조직이었으며 전체 메시지는 50건 미만임
  • .URL 파일은 원격 .LNK 파일을 가리킴
  • 실행되면 CMD 헬퍼 스크립트가 PowerShell을 호출해 압축된 Python 패키지와 Python 스크립트를 내려받음
  • Python 패키지와 스크립트는 AsyncRAT와 Xworm 설치로 이어짐

2024년 7월 11일 캠페인

  • 2024년 7월 11일 캠페인도 Cloudflare 터널을 사용해 AsyncRAT와 Xworm을 배포함
  • 캠페인은 1,500건이 넘는 메시지를 포함했고, 금융·제조·기술 등 여러 분야 조직을 표적으로 삼음
  • 메시지에는 LNK 파일을 가리키는 search-ms 쿼리가 담긴 HTML 첨부파일이 포함됨
  • 실행되면 난독화된 BAT 파일로 이어지고, 이 파일이 PowerShell을 호출해 Python 설치 패키지와 스크립트를 내려받음
  • 내려받은 구성요소가 AsyncRAT와 Xworm 실행으로 이어짐

방어 측면에서 중요한 점

  • Cloudflare 터널은 공격자가 임시 인프라를 사용해 운영을 확장하고, 인스턴스를 빠르게 만들고 내릴 수 있게 함
  • 임시 Cloudflare 인스턴스는 정적 차단 목록에 의존하는 전통적 보안 조치와 방어자에게 더 어려운 조건을 만듦
  • Python 스크립트 기반 전달 방식은 특히 주의가 필요함
    • Python 라이브러리와 실행 가능한 설치 프로그램을 Python 스크립트와 함께 묶으면, Python이 사전에 설치되지 않은 호스트에서도 악성코드를 내려받고 실행할 수 있음
    • 개인 업무에 Python이 필요하지 않은 조직은 Python 사용을 제한해야 함
  • 소프트웨어 패키지를 악성 파일과 함께 전달하는 방식은 이번이 처음이 아님
    • 최근에는 Java 기반 악성코드 캠페인에서 ZIP 안에 JAR와 Java Runtime Environment를 함께 넣어 다운로더 또는 드로퍼 실행 전에 필요한 소프트웨어가 설치되도록 한 사례가 관찰됨
  • 최종 페이로드 실행에는 피해자의 상당한 상호작용이 필요함
    • 악성 링크 클릭
    • LNK 또는 VBS 같은 파일 여러 개를 더블클릭
    • 압축된 스크립트 해제
    • 이 과정은 수신자가 의심스러운 활동을 식별하고 공격 체인을 중단할 기회를 여러 번 제공함
  • WebDAV와 Server Message Block(SMB)을 페이로드 스테이징 및 전달에 사용하는 위협 행위자가 늘고 있음
  • 조직은 외부 파일 공유 서비스 접근을 알려진 허용 목록 서버로만 제한해야 함

탐지 규칙과 침해 지표

  • Emerging Threats ruleset에는 이번 캠페인에서 식별된 악성코드 탐지가 포함됨
  • 예시 규칙:
    • 2853193 | ETPRO MALWARE Win32/Xworm V3 CnC Command – PING Outbound
    • 2852870 | ETPRO MALWARE Win32/Xworm CnC Checkin – Generic Prefix Bytes
    • 2852923 | ETPRO MALWARE Win32/Xworm CnC Checkin – Generic Prefix Bytes (Client)
    • 2855924 | ETPRO MALWARE Win32/Xworm V3 CnC Command – PING Outbound
    • 2857507 | ETPRO ATTACK_RESPONSE Suspicious HTML Serving Abused URL Linking Method Observed
  • 침해 지표 예시:
    • spectrum-exactly-knitting-rural[.]trycloudflare[.]com: TryCloudflare Host, 2024년 5월 최초 관찰
    • 157[.]20[.]182[.]172: Xworm C2 IP, 2024년 5월 최초 관찰
    • dcxwq1[.]duckdns[.]org: AsyncRAT C2, 2024년 5월 최초 관찰
    • ride-fatal-italic-information[.]trycloudflare[.]com: TryCloudflare Host, 2024년 7월 최초 관찰
    • todfg[.]duckdns[.]org: AsyncRAT C2, 2024년 7월 최초 관찰
    • welxwrm[.]duckdns[.]org: Xworm C2, 2024년 7월 최초 관찰
    • xwor3july[.]duckdns[.]org: Xworm C2, 2024년 7월 최초 관찰

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 수상한 .ru 도메인이나 방탄 호스팅 업체의 노출 IP에서 악성 소프트웨어가 배포되던 시대는 이미 지났음
    공격자들도 이제 GCP, AWS, Azure, Cloudflare 같은 모두가 쓰는 인프라를 사용하고, 당신의 조부모가 Netflix를 보려고 쓰는 것과 같은 VPN으로 기기에 접속함
    인터넷은 점점 IP 주소와 도메인 이름이 보안 지표로 쓸모없어지는 모델로 이동 중이며, Cloudflare나 AWS 대역을 막을 수도 없고 주요 상용 VPN 이용자를 사이트에서 차단하기도 어려움
    게다가 트래픽과 이름 조회가 모두 암호화되어 네트워크 운영자는 사용자가 인터넷에서 무엇을 하는지 알 수 없음
    이는 사생활과 익명성을 높이고, 네트워크 보안 솔루션의 효용을 낮춰 네트워크를 다시 단순하게 만들며 경직화를 막고, 비효율적인 두더지 잡기 산업 대신 근본 보안 문제를 다루게 만든다는 점에서 좋은 변화임

    • “Cloudflare나 AWS IP 대역 방문을 막을 수 없다”고 했지만, Reddit은 꽤 확실히 그렇게 하는 것 같음
      최근 yt-dlp로 Reddit 영상을 내려받는 텀블로그 백엔드 소프트웨어를 고쳐야 했는데, Reddit이 Hetzner 전용 서버 IP 대역을 막았기 때문임
      결국 JavaScript로 클라이언트에서 영상을 내려받아 내 서버로 업로드하게 해서 우회했음
    • 주요 상용 VPN 제공자의 IP 대역을 알아낼 수 있다면 방문자를 차단할 수 있음
      일부 웹사이트는 이미 그렇게 하고 있고, 나도 검토 중임
      또 TOR 출구 노드 IP 목록을 가져와 TOR를 막는 것도 할 만하며, TOR 차단 덕분에 악성 행위자로 인한 골칫거리를 많이 줄였음
    • 악성 소프트웨어가 더 이상 수상한 호스팅이나 도메인 등록기관이 아니라 주류 인프라에서 배포되는 건, 법 집행기관이 온라인 범죄를 실제로 다루지 못하거나 다루려 하지 않는 결과처럼 보임
      저작권처럼 대기업에 특정하게 불편을 주는 영역이 아니면 특히 그렇고, 주류 업체를 써도 처벌을 피할 수 있다면 굳이 방탄 호스팅이나 수상한 등록기관을 쓸 이유가 없음
    • 근본 문제가 해결될 때까지 규제기관이 기다리지 않고 더 공격적인 신원 확인을 택할 수 있다는 점이 우려됨
      최악은 인터넷 전체가 Facebook처럼 되어, 뭔가를 보기만 해도 실제 신원과 떼어낼 수 없는 계정이 필요해지는 상황임
    • 그래서 클라우드 호스팅에도 KYC가 도입될 것이라는 요약으로 보임

  • 링크 단축기 같은 걸 통한 악성코드 “전달” 헤드라인에는 슬슬 지침
    사람들이 인터넷에 파일을 올리는 방법이 여러 가지 있다는 건 놀랄 일이 아님

    • 이건 링크 단축기가 아니라 터널이라서, 사용자는 Cloudflare에 접속한다고 보지만 뒤쪽에서는 악성 목적지로 이어짐
      최종 목적지는 사용자와 회사의 보안 스택 모두에게 완전히 숨겨짐
      Cloudflare가 스스로를 보안 제품으로 팔려고 한다면, 자기 서비스에서 악성코드를 감시하길 기대하는 게 무리라고 보진 않음
    • 이 정도면, 특히 고급 사용자가 아닌 사람에게는 운영체제 상호작용 설계의 문제로 봐야 함
      Cloudflare를 조력자로만 몰아가는 건 더 큰 그림을 놓치는 것임
      예전에는 악성 드라이브에 우연히 감염되지 않으려고 Windows에서 자동 실행을 꺼야 했지만, CD-RW나 플래시 드라이브 제조사를 탓하는 사람은 없었음
    • Cloudflare가 악용 신고에 조금 더 성실히 대응해주면 좋겠음
      명백한 피싱과 악성코드 호스팅을 신고했을 때 실제로 조치한 걸 본 적이 없는 것 같음
    • 브라우저 설계가 단지 링크를 클릭하는 것만으로 악성코드 위협에 노출되게 굳어진 건 말도 안 된다고 봄
      원래는 “식별할 수 없는 것은 먹지 말라”는 좋은 조언이었는데, 어느새 “식별할 수 없는 것은 보지 말라”로 뒤틀린 셈임
      그런데도 이 조언을 못 지키면 바보인 것처럼 다루고 있어, 사용자는 실제 위협이 어떻게 생겼는지 모르는 상태가 되기 쉬움
      더 나은 방식은 모든 링크를 안전하게 클릭할 수 있고, 실행 같은 위험한 행동만 하지 않으면 되게 만드는 것임
      그래야 발견한 내용을 위협적이거나 신뢰할 만한 것으로 표시해 동료들에게도 도움을 줄 수 있음

  • 이 도구의 악용에 대해 거의 정확히 1년 전에 이미 썼음[0]
    여기서 새로워 보이는 건 터널을 통해 무엇을 하느냐와, 이 방식이 전체 공격 기법에서 차지하는 비중이 늘 만큼 성공하고 있다는 점뿐임
    내 생각엔 TryCloudflare가 진짜 문제임
    계정이 전혀 필요 없어서 귀속 추적이 거의 불가능해짐
    0: https://www.guidepointsecurity.com/blog/tunnel-vision-cloudf...

  • 무료 즉석 터널 제품은 결국 다 이렇게 되는 것 아닌가 싶음
    ngrok도 처음엔 마찰 없는 터널링이 좋았지만, 같은 종류의 악용 때문에 결국 전부 가입 흐름 뒤로 넣어야 했음

    • 공격자들이 이걸 악용하지 않았다면 오히려 실망했을 것임
      사용자에게 묶이는 책임성 없이 무료 종단 간 암호화를 제공한다면 악용을 부르는 셈임

  • Cloudflare 터널이 아니면, URL에 페이로드를 넣은 웹페이지를 Google 번역으로 열어달라고 하는 식이 될 것임
    이건 뉴스거리라고 보기 어려움

  • 인터넷에서 좋은 것을 누릴 수 없는 이유가 이런 것 같음, 여기서는 Cloudflare의 좋은 기능들 말임
    Cloudflare에서 무료로 이메일을 보낼 수 있었다는 걸 알고 있었나? (https://blog.cloudflare.com/sending-email-from-workers-with-...)
    지금은 못 함
    종료가 꼭 Cloudflare 탓은 아니었겠지만, 좋은 서비스가 악용되어 사라진 비슷한 사례임

  • 오래전 Cloudflare에는 커스텀 오류 페이지에 쓸 CSS와 HTML을 “미리보기”하는 기능이 있었음
    기본적으로 미리보기 기능은 쿼리 문자열에 들어간 CSS와 HTML을 받아 cloudflarepreview.com/...에서 그대로 보여주는 방식이었음
    나는 이걸 신고하면서 “Cloudflare 베타 미리보기에 접근하려면 Cloudflare 계정으로 로그인하세요!” 같은 페이지를 아주 쉽게 만들고 Cloudflare 로그인 정보를 탈취할 수 있음을 보여줬음
    버그 바운티는 “cloudflarepreview 플레이그라운드의 특성상 수용됨”이라며 닫혔고, 이후 URL에 JWT 토큰을 추가하는 방식으로 고쳤지만 보상은 없었음
    Cloudflare 고객으로 오래 있었지만, 제품 곳곳에 악용되기 전까지 별 관심을 받지 못하는 어두운 구석이 많아 보이고, 이 TryCloudflare도 그런 것 중 하나라고 의심함

  • “누구도 모더레이션과 악용 방지에 충분한 돈을 쓰고 싶어 하지 않는다”는 문제를 보면, 초기 PGP 시대에 말하던 온라인 신원의 분산된 신뢰·불신 네트워크 아이디어는 어떻게 됐는지 궁금해짐
    지금은 팔로워 수, 팔로워의 팔로워, 그 아래 끝없는 봇에 따라 “신뢰”되는 소셜 미디어 계정이나, PageRank와 검색엔진 최적화 악용 같은 형태로 약간 남아 있는 정도임

    • 그런 제안을 이해하고 쓸 수 있는 사람들은 애초에 트로이 목마를 설치할 만큼 어리석지 않음
    • 초현실적인 딥페이크가 계속 나오고 있으니, 사회는 출처가 진짜인지 확인할 방법을 곧 찾아야 함

  • 이 유형의 공격을 그 악명 높은 엔드포인트 보안 프로그램, 예컨대 ClownStrike가 잡아냈을지 궁금함
    공격자가 알려진 원격 접근 트로이 목마를 재사용하는 수준의 미숙한 경우에만 이 트래픽이 표시될 것 같음

    • CrowdStrike라면 임의의 exe 실행 자체를 막도록 설정하면 됨
      공격자가 이미 알려진 악성 실행 파일을 쓰는지는 상관없음

  • 여기서 AOL 무료 체험 계정 디스크가 여기저기 굴러다니던 시절이 떠오름
    많은 커뮤니티에서는 AOL 하위 도메인이 즉시 차단되곤 했음

    • *.ipt.aol.com 차단도 필요했음
      어떤 AOL 사용자가 HOST.ipt.aol.com 역방향 DNS를 써서 차단을 회피하고 모두에게 피해를 줬기 때문임
      Prodigy / CompuServe / Blue Light 세대도 여기 있음
답변달기
GeekNews BeeBS 게시판 오픈! 자유로운 이야기와 소소한 일상을 함께 나눠보세요.