마이크로소프트, 마스트라 인공지능 엔피엠 공급망 공격을 북한의 사파이어 슬리트와 연계
마이크로소프트가 엔피엠 침해를 북한 그룹과 연계
마이크로소프트는 Mastra AI 패키지 생태계를 겨냥한 최근의 공급망 공격을 사파이어 슬리트(Sapphire Sleet)로 추적된 북한 해킹 그룹에 귀속시켰다. 회사는 공격자가 관리 계정을 장악한 뒤 널리 사용되는 자바스크립트 레지스트리에 악성 업데이트를 푸시하면서 140개가 넘는 엔피엠 패키지가 침해되었다고 말했다.
6월 19일 업데이트에서 마이크로소프트는 이 활동이 사파이어 슬리트와 연계되어 있다고 “높은 신뢰도”로 판단했으며, 해당 그룹을 주로 금융 부문을 표적으로 삼는 북한의 국가 행위자로 설명했다.
공격은 게시 권한을 가진 npm(엔피엠) 유지관리자 계정인 “ehindero”의 권한 탈취로 시작되었다. 그 계정은 마스트라 패키지 환경 전반에 걸친 게시 접근을 가지고 있었다. 공격자는 거기에서 “easy-day-js”라는 악성 종속 항목을 @mastra 범위에 있는 140개 이상의 패키지에 삽입했다. 이 이름은 정식 라이브러리인 데이제이에스(dayjs)의 오타스쿼팅(typosquat)으로, 신뢰받는 소프트웨어 속에 섞여들기 위한 일반적인 수법이다.
악성 설치 체인은 개발자 기기를 감염시킴
일단 설치되면 가짜 종속 항목은 post-install 훅을 트리거하여 개발자 시스템에 맬웨어를 떨어뜨렸다. 마이크로소프트는 이 페이로드가 민감한 자격 증명, API 키, 인증 토큰 및 암호화폐 지갑을 탈취하는 것을 목표로 했다고 밝혔다.
회사는 코드가 TLS 인증서 검증을 비활성화하고 공격자가 제어하는 커맨드앤컨트롤 인프라에 접속했으며, 두 번째 단계 페이로드를 다운로드해 분리된 숨겨진 프로세스로 실행했다고 말했다. 그 두 번째 단계 페이로드는 Windows, Linux 및 macOS에서 실행되도록 제작된 크로스플랫폼 정보 탈취기였다.
마이크로소프트에 따르면 이 임플란트는 호스트 세부 정보, 브라우저 기록, 설치된 애플리케이션 및 실행 중인 프로세스를 수집했다. 또한 메타마스크(MetaMask), 팬텀(Phantom), 코인베이스 월렛(Coinbase Wallet), 바이낸스 월렛(Binance Wallet), 트론링크(TronLink)를 포함한 166개의 암호화폐 지갑 브라우저 확장 기능을 확인했다.
영속성 방법은 운영체제별로 달랐으며, 맬웨어는 Windows 레지스트리 Run 키, macOS LaunchAgents 및 Linux systemd 서비스를 사용했다.
마이크로소프트는 또한 공격자 서버와 통신한 시스템에서 이후에 파워셸 백도어, 추가적인 영속성 메커니즘, 마이크로소프트 디펜더 제외 규칙 및 SYSTEM 권한을 부여한 악성 Windows 서비스 등 사파이어 슬리트의 이전 작전과 일치하는 활동이 관찰되었다고 전했다.
“파워셸 백도어, 전술(tradecraft) 및 C2 인프라는 사파이어 슬리트가 이전 캠페인에서 사용했던 것이다,”라고 마이크로소프트는 밝혔다.
사파이어 슬리트는 이전에 암호화폐 절취, 악성 브라우저 확장, 가짜 채용 제안 및 자격 증명과 암호화 자산을 훔치기 위해 설계된 소프트웨어 공급망 공격과 연관되어 왔다.
출처:
더 많은 기술 뉴스를 Doppler VPN 블로그에서 읽어보세요.