GhostRedirector는 트래픽을 분산하고 검색 결과를 조작하기 위해 최소 65대의 Windows 서버를 침해했습니다. Gamshen이라는 악성 인터넷 정보 서비스(IIS) 확장 프로그램이 핵심 역할을 합니다. 이 확장 프로그램은 Googlebot 전용으로 서버 응답을 수정합니다. 실제 방문자에게는 아무것도 표시되지 않습니다. Rungan과 같은 맞춤형 백도어는 원격 제어 기능을 제공합니다. 목표는 무엇일까요? 특히 스페인어와 포르투갈어 사용자층을 대상으로 도박 사이트를 인위적으로 부스팅하는 것입니다. ESET은 2024년 8월부터 활동 중인 이 캠페인에 대한 주요 분석 결과를 발표했으며, Trend Micro, Symantec, Kaspersky, Bitdefender를 포함한 여러 사이버 보안 회사도 원격 측정에서 유사한 동기를 확인했습니다. 이러한 침해는 주로 브라질, 태국, 베트남의 병원, 대학, 기업에 영향을 미칩니다. 이 공격은 특정 산업을 표적으로 삼기보다는 기회주의를 우선시합니다. IIS 모듈의 작동 방식 Gamshen SEO 사기 및 Googlebot 차단 활성화 이 메커니즘은 간단하고 교활합니다. Gamshen은 기본 IIS 모듈로 설치됩니다. HTTP 요청을 가로채고 Googlebot지문을 찾습니다. 요청이 일치하면 모듈은 합법적인 응답을 명령 및 제어 서버에서 주입된 콘텐츠로 대체합니다. 구체적으로, 손상된 서버는 대부분의 인터넷 사용자에게는 정상적인 동작을 유지합니다. 하지만 Google 인덱서에게는 해당 사이트가 도박 페이지를 선호하는 백링크 및 리디렉션의 매개체가 됩니다. 검색 엔진은 사이트의 눈에 보이는 코드에 직접적인 영향을 미치지 않으면서 조작됩니다. 이 기술은 기존의 탐지 방식을 우회하는 경우가 많습니다. Palo Alto Networks 와 Fortinet팀은 IIS 모듈을 검사하고 사용자 에이전트에 따라 액세스 로그의 상관 관계를 분석하는 것이 필수적이라고 강조합니다. CrowdStrike와 같은 회사는 서명된 모듈을 감사하고 코드 서명 인증서를 검증할 것을 권장합니다. Gamshen 새로운 형태의 “SEO 사기 서비스”의 효율성을 보여줍니다. 핵심: 검색 엔진의 합법성에 대한 환상 공격 체인: 초기 접근부터 영구 관리자 계정까지 침입은 패치되지 않은 SQL 인젝션과 같은 고전적인 웹 취약점을 통해 시작되는 경우가 많습니다. 그런 다음 운영자는
PowerShell 또는 CertUtil
을 통해 무기고를 다운로드합니다. EfsPotato 또는 BadPotato와 같은 공개 권한 상승 도구가 활성화되어 은밀한 관리자 계정을 생성합니다.
권한이 상승되면
Rungan (수동 C++ 백도어)이 원격 명령 실행을 허용합니다. Zunput 은 활성 호스트를 검사하고 여러 웹셸을 삭제하여 백도어가 감지될 경우 대체 접근 경로를 보장합니다. 생성된 관리자 계정은 지속적인 지속성을 유지하는 지점 역할을 합니다. 귀속 신호에는 중국 회사와 연결된 서명 키, 바이너리의 중국어 문자열, “huang”이 포함된 비밀번호가 포함됩니다. ESET은 이러한 요소들을 GhostRedirector라는 공격자와 연결하며, 그 신뢰도는 중간 수준입니다. Sophos 및 Bitdefender와 같은 공급업체는 이러한 연결 고리를 차단하기 위해 시스템 계정 생성 감사 및 권한 상승 모니터링을 권장합니다. 지속성은 일반 사용자가 감지할 수 없는 숨겨진 계정과 서버 모듈을 활용합니다. 침해된 호스트의 피해자, 결과 및 평판 피해자는 의료, 소매, 운송, 교육, 기술 등 다양합니다. 이러한 접근 방식은 기회주의적입니다. 침해된 서버는 주로 브라질, 태국, 베트남에 위치하지만 미국, 페루, 캐나다, 유럽에도 있습니다. 방문자에게 미치는 직접적인 영향은 미미합니다. 실제 피해는 눈에 보이지 않는 평판입니다. Google에서 블랙햇 SEO 기법을 사용하는 것으로 인식된 사이트는 유기적 가시성이 손상될 수 있습니다. 마케팅 팀은 자신의 이름이 도박 페이지 홍보에 사용되고 있다는 사실을 너무 늦게 발견하는 경우가 있습니다.
사례는 이러한 위험을 잘 보여줍니다. 한 지역 병원의 도메인이 도박 사이트로 인덱싱을 리디렉션하는 데 사용되었습니다. 대응팀은 악성 모듈을 제거하고 인덱싱된 평판을 정리하기 위해
트렌드 마이크로
및 시만텍 과 같은 공급업체와 협력해야 했습니다. 규제 기관과 파트너 또한 신뢰를 잃어 상업적 피해를 입을 수 있습니다. 이러한 손상은 도메인의 평판을 손상시키며, 때로는 데이터 손실보다 더 위험할 수 있습니다.IIS 및 Windows 서버 보호를 위한 탐지 및 조치 우선순위 0: Windows 패치를 적용하고 알려진 웹 취약점을 수정합니다. IIS 모듈을 감사하고 코드 서명을 확인하면 종종 감센(Gamshen) 을 감지할 수 있습니다. Googlebot의 액세스 패턴을 관찰하고 IP 및 DNS 확인을 교차 참조하면 표적 인젝션을 식별하는 데 도움이 됩니다. CertUtil 사용을 제한하고 모든 PowerShell 실행을 로깅하면 무단 다운로드를 식별하는 데 도움이 됩니다. CrowdStrike, Fortinet, Palo Alto Networks와 같은 공급업체의 EDR 및 NGAV 솔루션은 비정상 동작을 탐지하는 데 유용합니다. ESET, Bitdefender, Sophos는 Rungan 및 Zunput을 식별하는 데 도움이 되는 공유 IOC를 제공합니다. 마지막으로, 로컬 관리자 생성을 모니터링하고, SIEM 알림을 설정하고, IIS에 설치된 모듈에 대한 수동 검토를 요구하면 악용 가능성을 차단할 수 있습니다. 담당 팀에게 최선의 방어책은 패치 적용, 네트워크 가시성, 계정 제어, 그리고 보안 공급업체와의 협력을 병행하는 것입니다.보안을 위해서는 각 서버의 조기 탐지 및 권한 축소가 필요합니다.
출처: cybersecuritynews.com
Comments
Leave a comment