이번엔 복합기 유틸리티 악용? 라자루스의 새 공격 수법

기존 수법에 새로운 공격 방식 추가

라자루스는 과거 공격에서 UAC 우회 도구를 활용한 권한 상승, SSH(Secure Shell) 서비스를 이용한 원격 제어, NirCmd를 통한 화면 캡처 등 다양한 공격 전술ž기술ž절차(TTP)를 사용해왔다. 이번 공격에서도 이러한 기존 수법의 흔적이 또다시 발견됐다.

권한 상승 단계에서는 과거 라자루스 공격에서 사용된 inet.tmp 파일명과 유사한 실행 인자가 확인됐으며, 원격 제어 과정에서는 SSH 키 파일을 다룬 흔적과 RDP 활성화 시도가 포착됐다. 정보 수집 단계에서도 NirCmd를 이용해 감염 시스템의 화면을 캡처한 정황이 나타났다.

여기에 새로운 공격 방식도 더해졌다. Konica Minolta 복합기의 FTP 유틸리티 구성 요소인 KMFtp.exe가 악성코드 실행에 사용됐고, Windows Error Reporting 계열의 정상 실행 파일인 WerFaultSecure.exe를 이용해 LSASS 메모리를 덤프하는 행위도 새롭게 확인됐다.

복합기 FTP 유틸리티를 활용한 악성코드 실행

공격자의 초기 침투 과정은 확인되지 않았다. 다만 공격 초기 단계에서 KMFtp.exe 프로세스가 악성코드를 실행하는 데 사용된 정황이 포착됐다.

KMFtp.exe는 Konica Minolta 복합기의 FTP 유틸리티 구성 요소다. 해당 프로그램의 취약점 존재 여부는 알려지지 않았지만, 악성코드 실행 과정에 활용된 것으로 나타났다.

[그림 1] KMFtp.exe에 의해 실행된 프로세스 트리

과거 공격과 유사한 권한 상승 시도

권한 상승 단계에서는 과거 라자루스 공격에서 사용됐던 inet.tmp 파일명이 다시 등장했으며, 실행 인자 역시 기존 사례와 유사한 형태를 보였다.

라자루스는 이전 공격에서 Windows UAC 우회 도구인 UACMe를 커스터마이징한 것으로 추정되는 파일을 inet.tmp라는 이름으로 사용해 권한을 상승시키고, 백도어를 다시 실행해 왔다.

해당 파일은 수집되지 않아 구체적인 유형은 분류하기 어렵지만, 일부 실행 인자가 과거 라자루스 공격에서 UACMe 관련 인자로 사용된 이력이 있어, 기존 권한 상승 방식과 유사한 특징을 보인다.

SSH와 RDP를 이용한 원격 제어 시도

원격 제어 단계에서는 SSH 키 파일을 다룬 흔적과 RDP 서비스 활성화 시도가 확인됐다. 라자루스는 과거 워터링 홀 공격에서 SSH 서비스를 설치한 뒤 공격자 계정을 등록한 뒤, 공개키가 저장된 administrators\_authorized\_keys 파일을 피해 시스템으로 복사한 사례가 있다. 이번에도 이와 유사하게 SSH 키 파일을 다루는 로그가 발견됐다.

이와 함께 윈도우 원격 데스크톱 연결을 허용하도록 설정하는 명령도 실행됐다. 이는 이후 RDP 서비스를 이용해 감염시스템을 원격으로 제어하기 위한 시도로 추정된다.

NirCmd로 감염 대상 시스템 화면 정보 수집

공격자는 정보 수집 단계에서 NirCmd 도구를 사용했다. 라자루스는 과거 공격에서도 이 도구로 시스템 화면을 캡처한 사례가 있었고, 이번에도 같은 방식이 확인됐다.

NirCmd는 다양한 시스템 명령을 실행할 수 있는 도구다. 공격자는 %ALLUSERSPROFILE%\net.tmp 경로에 NirCmd를 설치한 뒤 스크린샷을 캡처해 net.jpg, net1.jpg 등의 파일로 저장했다.

정상 윈도우 파일을 악용한 LSASS 메모리 덤프

이번 라자루스 공격에서는 WerFaultSecure.exe를 이용해 LSASS 메모리를 덤프하는 행위가 새롭게 확인됐다.

WerFaultSecure.exe는 Windows Error Reporting 계열의 정상 마이크로소프트 실행 파일이다. 공격자는 신뢰받는 시스템 프로세스가 LSASS에 접근하는 방식을 악용해 탐지를 우회하려 한 것으로 분석된다.

LSASS는 윈도우에서 사용자 인증과 관련된 정보를 처리하는 프로세스다. 공격자는 LSASS 메모리를 덤프해 해당 데이터에서 감염 시스템에 저장된 자격 증명 정보를 탈취하고, 이를 이후 측면 이동 과정에 활용할 수 있다.

이와 함께 SAM(Security Account Manager) 파일을 덤프하는 명령도 확인됐다. SAM에는 로컬 계정과 관련된 인증 정보가 저장돼 있어, 추가적인 자격 증명 탈취에 활용될 수 있다.

난독화된 파워셸을 이용한 측면 이동

측면 이동 단계에서는 난독화된 파워셸(PowerShell) 명령으로 외부 서버에서 추가 페이로드를 내려받는 행위가 확인됐다. 해당 명령은 URL 일부를 문자 코드 형태로 표현해 문자열을 알아보기 어렵게 만드는 방식으로, 과거 건라(Gunra) 랜섬웨어 공격 사례에서도 유사한 패턴이 사용된 바 있다.

다만 이번 사례에서는 랜섬웨어 파일이나 직접적인 랜섬웨어 행위가 확인되지 않았다. 따라서 이러한 유사성만으로 해당 공격이 건라 랜섬웨어 그룹과 직접적인 연관이 있다고 단정할 수는 없다.

이처럼 이번 공격은 라자루스가 과거에 사용해 온 TTP를 반복적으로 재활용하는 동시에, 공격 환경에 맞춰 새로운 기법을 추가하고 있음을 보여준다. 정상 프로그램과 시스템 기능을 악용해 공격을 수행한다는 점에서 개별 악성 파일만으로는 위협을 식별하기 어려울 수 있다.

보안 담당자는 특정 악성 파일의 탐지 여부뿐만 아니라 정상 프로그램의 비정상적인 실행, 권한 상승, 원격 서비스 활성화, 화면 캡처, 자격 증명 접근, 외부 페이로드 다운로드 등의 행위가 연속적으로 발생하는지 함께 점검할 필요가 있다.