피드로 돌아가기
Dev.toSecurity
원문 읽기
Rust 기반 HelloDoor 도입 및 Cloudflare 터널링을 통한 C2 은닉 고도화
Kimsuky (APT43) — Analysis of the New PebbleDash · AppleSeed Toolset
AI 요약
Context
전통적인 C2 통신 방식의 탐지율 상승에 따른 새로운 은닉 체계 필요성 대두. 기존 C++ 기반 툴셋의 패턴 분석을 회피하기 위한 언어적 전환과 합법적 서비스 기반의 트래픽 우회 전략 요구.
Technical Solution
- 탐지 회피 효율을 높이기 위한 Rust 언어 기반의 HelloDoor DLL 백도어 설계
- LLM을 활용한 코드 생성으로 기존의 고유한 코딩 패턴을 제거하여 정적 분석 무력화
- VSCode Remote Tunneling과 Cloudflare Quick Tunnel을 이용한 LotL(Living off the Land) 방식의 C2 채널 구축
- GPKI 디렉토리 타겟팅을 통한 한국 정부 PKI 인증서 탈취 최적화 로직 구현
- PebbleDash와 AppleSeed 두 클러스터의 Mutex 패턴 공유를 통한 통합 제어 구조 채택
- JSE, PIF, SCR 등 다양한 드롭퍼 포맷을 통한 초기 진입 벡터 다변화
실천 포인트
- Rust 등 비주류 언어로 작성된 바이너리의 정적 분석 및 런타임 행위 감시 강화 - Cloudflare Tunnel, VSCode Tunnel 등 합법적 터널링 서비스의 비정상적 아웃바운드 트래픽 모니터링 - GPKI 등 시스템 내 민감 디렉토리에 대한 비정상적 접근 권한 요청 탐지 룰 설정 - LLM 생성 코드로 인한 기존 시그니처 기반 탐지 한계를 인지하고 행위 기반 분석으로 전환