Dark Frost 에니그마: 의외로 널리 퍼져 있는 봇넷 작성자 프로파일

Dark Frost 봇넷의 흥미로운 이야기는 우리에게 성공률과 독창성의 수준이 맞지 않는 당황스러운 공격자의 모습을 보여줍니다. 그럭저럭 생성된 봇넷은 널리 사용되는 여러 멀웨어 변종군(Mirai, Gafgyt, Qbot)의 도난 코드를 사용하여 만들어졌기 때문에 공격자는 게임 산업을 상당히 성공적으로 공격할 수 있습니다. 

이 모든 과정을 통해 이 공격자들이 소셜 미디어에서 자신들의 악용 행위를 자랑하고 봇넷을 활용하여 경미한 온라인 사기 행위에 가담하며 바이너리에 디지털 서명을 남기는 모습이 목격되었습니다(그림 1). 

이 위협 프로파일은 생각보다 더 광범위합니다. 충분한 결단력과 약간의 기초적인 코딩 지식으로 거의 누구나 실질적인 위협을 가할 수 있습니다. 이러한 행동이 가져올 수 있는 결과를 이해할 수도 있고 이해하지 못할 수도 있는 젊은 사람들을 논하다 보면 특히 그렇습니다. 법 위에 살 수 있다는 능력에 대한 그들의 자신감은 확립된 법적 변수들을 능가하여, 예상보다 더 위험한 상황을 초래할 수 있습니다.

우리의 첫 번째 Dark Frost 바이너리 샘플은 2023년 2월 28일 Akamai SIRT(Akamai 보안 인텔리전스 대응팀) HTTP 허니팟에서 수집되었습니다. 공격자는 원격 코드 실행(RCE)을 허용하는 Hadoop YARN 서버(CVE 할당 없음)에서 잘못된 작업 구성을 표적으로 삼았습니다. 이 샘플은 "Darkness 봇넷"이라는 이름으로 작성되었지만 해당 제목은 이미 2010년에 DDoS 공격 대행 캠페인에 쓰였습니다. 따라서 원래 이름과 기타 바이너리 참조를 고려하여 "Dark Frost 봇넷"이라고 명명했습니다.

이 YARN의 잘못된 작업 구성의 악용은 최근 CVE가 할당되지 않았고, 위협 공격자가 서버를 속여 악성 바이너리를 다운로드 및 실행하도록 할 수 있어 그 인기가 증가하고 있습니다. 그러나 이러한 취약성은 2014년부터 존재했으므로 신종 기법과는 거리가 멀다는 점에 유의해야 합니다. 하지만 봇넷의 성공률을 고려하면 생성된 지 시간이 꽤 되었음에도 불구하고 향후 봇넷에 영향을 미치는 요인이 될 수 있습니다. 

공격자는 애플리케이션이 이러한 종류의 공격에 취약한지 확인하기 위해 정찰병을 보내는 것으로 시작했습니다(그림 2).

우리가 제공한 알려진 취약성 인스턴스로부터 응답을 받은 공격자는 대상이 적절하다고 판단하여 악성 페이로드를 전송했습니다(그림 3).

또한 다른 HTTP 요청이 전송되는 것을 볼 수 있지만 현재 어떤 용도로 사용될 수 있는지 알 수 없습니다(그림 4).

파일을 처음 볼 때 바이너리의 이름은 "roof"로 지정되었고, 다양한 써드파티 툴을 통해 해시는 아무런 평판을 얻지 못했지만 우리의 내부 자동화 도구는 이것이 Gafgyt와 유사하다고 판단했습니다(그림 5). 이는 공격자 IP가 Dark Frost 바이너리가 배포되는 수개월 동안 Gafgyt의 변종을 배포하는 것이 목격되었다는 사실 때문일 수 있지만 현재 많은 멀웨어에서 공통적으로 사용하는 다양한 문자열과 일치하기 때문일 가능성이 더 높습니다. 

추가 바이너리를 찾기 위해 IP 주소를 선회한 결과 2022년 10월부터 동일한 작성자가 각각 지정한 "roof"라는 이름이 더 많이 발견되었습니다. 이는 우리가 작업할 수 있는 새로운 IP를 주었고, 결과적으로 페이로드를 배포하려는 추가 시도에 대한 증거가 되었습니다(그림 6. 인종적 민감도에 대한 검열).

이 특정 공격자는 다양한 수준의 증거와 함께 꽤 많은 정성을 들였습니다. 때때로 그들은 다양한 문제의 원인이 될 거라고 그리 큰 관심이 쏠리지 않을 주장을 하며 소셜 미디어에 글을 게시했습니다. 그러나 그들은 때때로 공격 결과를 문서화한 스크린샷으로 이러한 주장을 뒷받침하도 합니다. 

예를 들면 전용 서버와 MOD 지원을 갖춘 오픈 소스 게임 호스팅 플랫폼인 Plutonium 서버에 대한 공격에 대한 트윗이 있습니다(그림 7).

이러한 트윗은 시작에 불과합니다. 공격자는 AmongUs 서버에 대한 공격과 같은 공격의 전체 영상을 게시하기도 합니다(그림 8).

스크린샷에서 볼 수 있듯이 이 공격자는 한동안 활동을 지속했습니다. 우리는 Rogue 회사 서버를 공격했을 당시인 2022년 5월까지의 공격을 추적할 수 있었습니다(그림 9).

심지어 공격자가 일부 피해자를 조롱하고 구매자에 대한 정보를 공개하는 것을 발견했습니다(그림 12).

멀웨어를 분석할 때 가장 답하기 어려운 질문 중 몇 가지는 멀웨어를 담당하는 사람은 누구이며, 표적은 누구인지 그리고 봇넷 규모가 얼마나 큰지 등입니다. 이 사이버 범죄자가 우리에게 처음 두 가지 질문에 답했기 때문에 우리는 그들이 세 번째 질문에도 답할 수 있는지 알아보기로 했고, 이들은 예상대로 답을 제공했습니다.

그림 13 - 2023년 2월 멀웨어 작성자가 찍은 스크린샷에 따르면 봇넷에는 414개의 디바이스가 있으며 대부분은 ARMv4 아키텍처이고, 그 다음 두 개는 MIPSEL과 x86입니다. ARMv4의 존재는 특히 흥미롭습니다. 이 아키텍처는 매우 구식이기 때문입니다. ARMv4는 ARMv5 및 ARMv6와 호환되기 때문에, 보통 ARMv4 및 ARMv7용으로 특별히 컴파일링하는 방법이 사용됩니다. ARMv4와 ARMv7을 컴파일링하면 ARMv7 아키텍처에서 실행되는 보다 최신의 디바이스를 대상으로 멀웨어가 실행될 수 있습니다. 

이 이중 표적 접근 방식은 멀웨어가 더 넓은 네트워크를 만들어 디바이스의 감염 가능성을 높입니다.

자동화된 바이너리 수집 시스템(그림 14)이 아니었다면 바이너리를 손에 쥐기 어려웠을 것입니다. 조사 당시 배포 IP가 다운되었기 때문입니다. 

샘플을 검색하면서 우리는 x86-64 버전을 다루고 있다는 사실을 알게 되었습니다(그림 15). 이 버전은 스트리핑되어 리버스 엔지니어링 시 약간의 불편함이 있었습니다.

그러나 코드 내에 우리의 방향을 정하는 데 도움을 주는 오류 처리 및 사용 메시지와 같은 기타 여러 지표가 있었습니다(그림 16).

총 8건의 공격이 있었으며 UDP 및 TCP와 같은 공격은 매우 흔했지만, Zgoflood와 같이 좀 더 특이한 것들도 있었습니다(그림 17).

샘플의 리버스 엔지니어링 작업을 통해 일부 제거된 함수의 이름을 기존에 사용했던 것으로 추론되는 이름으로 바꿀 수 있었습니다(그림 18).

그런 다음 IP가 명령 및 제어(C2) 서버가 되도록 바이너리(그림 19)를 패치했습니다. 이제 문자열 변수의 이름이 실제 값과 다름을 확인할 수 있습니다. 흥미로운 점은 C2가 이 변경 사항 이전의 멀웨어 배포 IP였다는 것입니다.

다른 터미널로 지정된 C2 포트(TCP/420)에서 수신해 C2 연결 검사를 통과할 수 있었지만 프로그램이 오류와 함께 종료되는 것처럼 보였습니다(그림 21).

멀웨어는 디바이스를 감염시킨 멀웨어 샘플의 아키텍처 및 OS 유형을 다시 보고하려고 시도합니다(그림 22). 이 경우 Arch Linux를 사용하여 x86 샘플을 터뜨리고 분석할 수 있습니다.

연결 및 등록 단계를 성공적으로 통과한 후에 프로그램은 우리가 최선의 노력을 다했음에도 불구하고 계속 종료되었습니다. 몇 가지 유용한 오류 메시지는 멀웨어 랩에 설치된 감시 드라이버가 부족해진 원인을 나타냈습니다. 프로세스가 명령줄에서 실행을 중지한 것처럼 보이지만 백그라운드에서 명령을 기다리고 있는 하위 프로세스를 시작했다는 것을 깨달을 때까지 우리는 이 검사를 여러 번 우회하거나 통과하려고 시도했습니다. 

이를 테스트하기 위해 우리는 C2 통신을 위한 인터넷 중계 채팅으로 일반적인 BASHLITE 변종에 대한 하트비트를 전송했습니다(그림 23).

TCP를 통해 적은 양의 16진수로 인코딩된 콘텐츠를 전송하는 socketflood 및 junkflood 공격도 매우 유사하게 나타났습니다(그림 25). 또 한 가지 주목할 점은 바로 socketflood가 실제로는 HOLD 플러드로 프린트된다는 것입니다. 

@c2로 표시된 C2 명령을 테스트한 결과 사용 오류가 발생했습니다. 우리는 @c2가 아마 !c2를 의미할 것이라고 생각하고 그것을 시도해(그림 26) 단일 패킷을 전송했습니다.

다음과 같은 공격, 즉 onepacket, std, randflood, Zgoflood 또한 성공적으로 실행되었지만 실제로 어떠한 데이터도 보내지 않았습니다(그림 27). 이는 이러한 기능이 아직 개발 중이거나 망가졌음을 의미할 수 있습니다.

우리는 공격을 벤치마킹하기 시작했으며 UDP 플러드가 가장 신뢰할 수 있고 가장 많은 결과를 냈다는 사실을 발견했습니다. 크기가 전송된 총 데이터 양에 어떤 영향을 미치는지 확인하기 위해 1024부터 시작하여 다양한 패킷 크기를 사용했습니다.

그림 28에서 볼 수 있듯이 특정 포트에서 10초 동안 이 작업을 실행한 다음, 결과를 분석하기 위해 tcpdump에서 이 데이터를 수집했습니다(그림 29).

10초 동안 패킷 크기가 1,024인 결과는 140만 개의 패킷을 캡처해 총 1.5GB의 데이터를 얻었습니다. 이는 1.2Gbps의 성능을 냅니다. 동일한 실험을 통해 다양한 크기의 패킷에 대해 다음과 같은 결과를 확인했습니다(표 1).

이와 같은 테스트 실행 시 공격자가 이 패킷과 함께 사용하기 위해 이용하는 것을 가장 많이 볼 수 있는 것은 1,024 근처입니다. 두 배가 되면 패킷 조각화로 인해 패킷 출력이 저하됩니다. 즉 조각이 아닌 지정된 포트를 통해 들어오는 패킷만 관찰합니다. 벤치마크를 올바르게 계속하기 위해서는 조각화 방지를 위해 루프백에서 이러한 공격을 시작해야 했고 재측정을 위해 루프백 인터페이스 수신을 대기해야 했습니다(표 2). 

Dark Frost 봇넷은 많은 온라인 서비스를 다운시킬 정도로 강력한 공격을 가하고 있지만, Akamai가 보호하는 서비스는 매우 안전합니다. SIRT는 이와 같은 위협을 지속적으로 모니터링하고 우리가 관찰한 내용에 대해 커뮤니티에 경고합니다. Akamai의 실시간 리서치에 대해 자세히 알아보려면 Twitter에서 Akamai를 팔로우하세요.