이셋코리아는 사이버 스파이 그룹인 Turla가 사용하는 가장 오래된 맬웨어 중 하나인 ComRAT의 최신 버전을 발견했다고 밝혔다.

Snake로도 알려진 Turla는 악명 높은 사이버 스파이 그룹으로 10년 이상 활동해 왔다. 업 데이트된 백도어의 가장 흥미로운 기능은 Gmail 웹 UI를 사용한다는 것이다.

ComRAT은 2017년부터 최소 3개의 정부기관을 공격해 민감한 문서를 훔쳤다. ESET은 이 최신 ComRAT가 2020년 초에도 여전히 사용되고 있다는 사실을 발견했다. 이는 Turla 그룹이 여전히 활발히 활동하고 있으며, 외교 및 군사적으로 큰 위협이 되고 있음을 보여준다.

ComRAT의 주요 용도는 기밀 문서를 훔치는 것이다. 어떤 경우에는 운영자가 .NET 실행 파일을 배포하여 조직의 문서가 포함된 피해자의 중앙 MS SQL Server 데이터베이스와 상호 작용할 수도 있다. 맬웨어 운영자는 OneDrive 및 4shared와 같은 퍼블릭 클라우드 서비스를 사용하여 데이터를 유출했다. Turla의 최신 백도어는 감염된 컴퓨터에서 추가적인 프로그램 실행 및 파일 유출과 같이 다른 많은 작업을 수행할 수 있다.

공격자가 보안 소프트웨어를 회피하려 한다는 사실이 중요하다. 이 악명 높은 그룹을 수년 간 조사해온 Matthieu Faou는 "이는 이 그룹의 정교함과 오랜 기간 같은 기기에 머무르려는 의도를 보여준다"며 “Gmail 웹 인터페이스를 사용하는 최신 버전의 ComRAT 맬웨어 제품군은 악성도메인에 의존하지 않기 때문에 일부 보안 제어를 우회할 수 있다”고 말했다.

또한 Faou는 “백도어 업그레이드는 ESET이 2017년 처음 발견했다. 완전히 새로운 코드 기반을 사용하며 이전 모델 보다 훨씬 더 복잡하다. ESET 연구원들이 본 백도어의 가장 최신 버전은 작년 11월에 컴파일된 것이다. 피해를 입은 동일한 컴퓨터에서 발견된 다른 악성 코드 샘플에 따르면 ComRAT는 Turla에 의해 독점적으로 사용된다고 생각한다”라고 말했다.

Agent.BTZ로도 알려진 ComRAT는 2008년 미군에 침입해서 악명을 떨친 악성 백도어이다. 2007년에 출시된 이 맬웨어의 첫번째 버전은 이동식 드라이브를 통해 확산되어 웜 기능을 보여 주었다.

ComRAT에 대한 자세한 기술 정보와 IoC(Indicator of Compromise)의 전체 목록을 보려면 WeLiveSecurity의 ESET 백서를 참고하면 된다.

★정보보안 대표 미디어 데일리시큐!★

<제7회 2020 의료기관 개인정보보호&정보보안 컨퍼런스(MPIS 2020) 개최>
-일 시: 2020년 7월 15일(수) 09:00~17:00
-장 소: 한국과학기술회관 지하1층 대회의실
-참석대상: 전국 의료기관 및 관련 공공기관 개인정보보호/정보보안 담당자(무료 참석)|
(이외 참석자는 11만원 유료 참석만 가능)
-사전등록: 사전등록 클릭