문자만 받으면 감염되는 페가수스 공격 방법(+ 탐지에 관해)

팁/노하우 게시판 - 회원들의 다양한 IT/하드웨어 팁과 정보

공지 퀘이사존 규정(25.08.04)

퀘이사존

18k

03-16

4 문자만 받으면 감염되는 페가수스 공격 방법(+ 탐지에 관해) addffg 5 3482 2021.09.19 02:02

안녕하세요. 바로 어제인가? 페가수스에 관한 글을 올렸습니다.NSO에서 만든 악성코드이니 만큼 무시무시하긴 했는데, 도대체 어떤 방식으로 공격하는건지 도저히 알 수가 없었습니다. 오늘 드디어 관련 글을 찾아 소개해드리려 합니다. 저번 글에 깜빡하고 말씀드리질 못했는데, 저는 일반인이기 때문에, 혹시나 틀린 부분이 있다면 부담 없이 지적해주시면 감사하겠습니다.시작하기에 앞서 모든 정보는 Amnesty International에 올라온 글(출처)에서 가져왔음을 밝힙니다. 1. 네트워크 인젝션2019년에 일어났던 공격 방법으로, 피해자는 야후에 접속을 하였으나 즉시 https://(가림).get1tn0w.free247downloads[.]com:30495/(가림) 라는 이상한 링크로 리디렉션 되었습니다.(본 게시글의 모든 주소는 실수로 클릭하는 경우를 방지하기 위해 원문의 [.] 처리와 함께, 링크 일부를 가렸습니다.)리디렉션은 주변에 악의적 기지국을 통하거나, 또는 중앙망을 건드려서 일어나도록 한 것으로 파악하고 있습니다. 스케일부터 다르네요. 네트워크 망을 건드린 만큼 꼭 웹브라우저가 아닌 네트워크 통신을 하는 앱에서도 이러한 리디렉션이 일어난 걸 확인할 수 있었다고 합니다. 2. BridgeHead 공격위 리디렉션이 완료되고 몇초 후 바로 bh라는 프로세스가 인터넷 접근을 요청한 로그가 확인되었습니다. 2016년 LookOut이 배포한 페가수스 샘플에서 bh를 찾아보니, 이는 페가수스가 뒷 과정을 완료하여 장치에 올바르게 설치되도록 하는 API 콜을 담당합니다.2-1. BridgeHead 공격 뒷 과정(왜 2번과 2-1번을 구분지었는지 잘 모르겠지만, 본문에서 분류한대로 작성하겠습니다. 아마 BridgeHead가로드된 후 페가수스가 작동하는 과정이여서 분리된게 아닌가 추측합니다.)얼마 지나지 않아 애플에게 자동으로 전송되는 충돌 리포트를 비활성화 하고, 루트 권한을 얻습니다. 다시 곧 roleaboutd (추가 사례에서는 msgacntd) 프로세스가 로드되며, 본문에서는 이를 BridgeHead 공격 뒤로 이어지는 페가수스 악성코드의 공격 과정이라고 생각하고 있습니다. BridgeHead가 얻은 루트 권한을 통해 후에 로드된 프로세스 역시 권한 승격을 얻습니다.참고로, 최근 iOS 버전에서는 어떠한 시스템 프로세스도 저런 이름을 갖고있지 않습니다. 즉, 페가수스의 프로세스라는 가능성을 더욱 높여줍니다.(덧붙이자면 d는 daemon의 표시로, 보통 애플 시스템에서 launchd와 같이 시스템 프로세스에 흔히 붙는 알파벳입니다.) 3. 사진 앱을 통한 공격우선 아이폰의 사진 앱은 안드로이드의 갤러리와 같은 역할을 합니다. 당연히 시스템 기본 앱이구요.19년과 20년 두해에 걸처 사진 앱을 통한 공격이 이루어졌습니다. 사진 앱이 네트워크 트래픽을 발생시켰고, 몇초 후 앞서 말씀드린 bh(BridgeHead) 프로세스가 나타납니다. 그 후 마찬가지로 충돌 리포트를 비활성화 시킵니다.그러나 안타깝게도 이 이후의 과정은 알아낼 수 없었습니다. 그러나 사진 앱 또는 사진 스트림 서비스가 페가수스가 활용한 취약점의 일부라고 생각한다고 합니다. 4. 아이메시지 제로클릭 제로데이 공격 (2019)이 공격은 현재 논란이 되고 있는 공격과는 다른 공격임을 우선 말씀드립니다.우선 아이메시지를 수신받으면 해당 계정을 찾게 됩니다. (Lookup) 계정 탐색 얼마 후 앞서 말씀드린 roleaccountd 프로세스와 함께 아이메시지를 통해 공격받은 기기들에서 공통적으로 stagingd 프로세스가 나타납니다.특이점으로는 아이메시지 공격은 이메일 주소로 문자가 발송되는데, 계정 캐시 파일을 살펴보면 이메일 주소 제일 앞에 2바이트짜리 0x00가 삽입되어 있었습니다. 5. 애플 뮤직 공격시작하기 전에, 애플 뮤직은 삼성 뮤직처럼 애플에서 서비스하고 있는 앱으로, 애플 제품군에 기본으로 설치되어 있는 앱입니다.4번과 비슷하게 공격 과정은 아이메시지 수신을 통한 계정 탐색으로 시작합니다. 그러나 굉장히 특이하게도 페가수스는 애플 뮤직을 통해 HTTP 요청을 보내는데, 이 과정이 페가수스의 설치 과정중 일부로 역할하는지, 아니면 샌드박스(안전장치)를 벗어나 권한 상승의 과정으로 쓰이는지는 알 수 없다고 합니다.이 사례에서 애플 뮤직은 https://(가림).php78mp9v.opposedarrangement[.]net:37271/(가림)/stadium/pop2.html?key=501_4&n=7로 요청을 보냅니다. 어찌 되었던 첫 애플 뮤직 HTTP 요청이 발생한 후 곧 앞서 말씀드린 roleaccountd와 stagingd 프로세스가 실행됩니다.이 HTTP 공격은 WebKit 취약점을 활용한 것으로, 사이트에 접속하는것 만으로 감염되는 취약점을 이용합니다. 6-1. 아이메시지 제로클릭 제로데이 공격 (2021, HTTP)우선, 본문에서는 6번에 별다른 분류를 두지 않았으나, 내용을 조금 더 구조적으로 만들기 위해 제가 임의로 공격 방법에 따라 6-1과 6-2로 나누었습니다.2021년 다시 발견된 아이메시지 제로클릭 제로데이 공격은 메갈로돈(Megalodon)이라고 본문에서 칭하고 있습니다.역시 동일하게 첫 과정은 아이메시지 계정 탐색으로 시작합니다. 그러나 놀랍게도 이번에는 coretelephony 서비스가 HTTP 요청을 보냅니다. 이 사례에서 coretelephony는 https://(가림).cloudfront[.]net/(가림)//stadium/megalodon?m=iPhone9,1&v=18C66로 요청을 보냅니다.눈치 채신분도 계시겠지만 stadium이 붙는 특징을 가집니다.이해를 돕기 위해 추가하자면, coretelephony는 통신에 관련된 거의 모든것을 관장하는 시스템 서비스입니다.이 HTTP 요청은 250kb 정도의 데이터를 다운로드 하며, 아쉽게도 이 파일은 암호화된채로 보관되어 있어 확인은 불가능 했다고 합니다. (암호화는 iOS 기본 보안 기능입니다.) 그러나 얼마 지나지 않아 gatekeeperd 프로세스가 실행된걸로 보아, 이 프로세스가 페가수스의 프로세스라고 생각한다고 본문에서 밝히고 있습니다.개인적으로 덧붙이자면, gatekeeper는 확인되지 않은 프로그램의 설치를 제한하는 애플의 보안 기능입니다. 그러나 gatekeeperd라는 프로세스는 존재하지 않으며, 굳이 d를 붙이는 행동과 더불어 시스템 프로세스로 위장하기 위한 행동이라고 생각합니다.다른 사례에서 msgacntd 프로세스를 발견했고, 2-1에서 언급된 추가 사례와 동일한 프로세스임을 알 수 있습니다.이 HTTP 공격 역시 WebKit 취약점을 활용한 것으로, 사이트에 접속하는것 만으로 감염되는 취약점을 이용합니다.6-2. 아이메시지 제로클릭 제로데이 공격 (2021, PDF)역시 시작은 아이메시지 수신으로 시작합니다. 이 피해자의 아이폰은 5월, 6월 두달에 걸처 세번의 공격 당했습니다.아이메시지를 수신한 후 수십개의 gif 파일이 첨부파일로 저장됩니다. 첫 5월 공격은 실패했으나, 6월의 두번 공격은 성공한것으로 판단하고 있습니다. 6월 공격에서는 100개가 넘는 푸시알림이 아이메시지를 통해 수신된 후, 비슷하게 수십개의 gif 파일이 저장됩니다. 그러자 갑자기 몇개의 시스템 서비스들이 충돌을 일으키기 시작합니다.5분 후, 방금 전과 비슷하게 또 몇개의 시스템 서비스들이 충돌을 일으킵니다. 곧, 6-1과 동일하게 coretelephony가 HTTP 요청을 보내고, 페가수스가 설치되게 됩니다. 7. 흔적을 감추려 시도했으나 실패한 정황들최근 페가수스가 흔적을 감추기 위해 시스템 데이터베이스를 건드리기 시작한 정황을 Amnesty가 조사한 몇몇사례에서 찾을 수 있었다고 합니다. 간단하게 요약해서 말씀드리자면 아이폰에서 프로세스 활동이 기록되는 로그가 두개 있는데, 이중 하나는 페가수스가 수정을 했으나 나머지 하나는 수정하지 않았다고 합니다. 로그 분석을 통해 아까 말씀드린 roleaccountd의 내부 저장소에 페가수스가 존재함을 확인할 수 있었다고 합니다. 8. 시스템 서비스로 변장시도페가수스는 제가 위에 말씀드린 것처럼 시스템 서비스처럼 보이기 위해 뒤에 d를 붙이는 등의 행동을 했습니다.본문에 게시된 예시 몇개를 들고오자면,ASPCarryLog -> ABSCarryLogfmfd -> fmld등 여러가지가 있었습니다. 9. 공격 서버 감추기NSO는 공격 서버를 감추기 위해 많은 수단을 사용한 걸로 파악되고 있습니다.2018년에 발견된 페가수스 네트워크 버전 3은, 600개가 넘는 도메인에서 탐지되었으며 NSO 그룹에서는 이 페가수스 네트워크를 "페가수스 익명화 전송 네트워크" (PATN)이라 부른다는 것도 알 수 있었습니다.도메인이 공개된 후 NSO는 즉시 버전 3 네트워크를 모두 종료했습니다. 9-1. 페가수스 네트워크 버전 4버전 4에서는 인증 도메인과 공격 도메인이 분리되었습니다.1. 검증 서버이 서버는 보통 별것 아닌 웹앱을 실행합니다. 본문에서는 이를 위장 목적으로 판단하고 있습니다.접속 요청을 확인한 후 올바른 URL을 갖고 있으면 공격 서버로 리디렉션 합니다. 그렇지 않은 경우 위장용 사이트로 리디렉션을 진행합니다.2. 변조 DNS 서버네트워크 스캔 회피를 위해 서브도메인이 짧은 주기마다 바뀌는 것으로 파악됩니다. 이를 위해 NSO는 별도의 DNS 서버를 운영하는 걸로 추정됩니다.3. 페가수스 설치 서버말 그대로 페가수스를 설치하는데 이용되는 서버입니다.4. 명령, 제어 서버이전 세대의 PATN에서 페가수스는 감염과 감염 후 악성코드 통제에 각각 별도의 서버를 이용했고, 새로운 세대의 이번 PATN에서도 별도의 명령 제어 서버를 갖고 있는걸로 확인된다고 합니다.탐지 회피를 위해 DNS lookup 없이 접속하거나 TLS SNI(서버 네임 인디케이션) 필드에 도메인 이름을 넣어 전송하는 걸로 파악되었습니다. 이후에 내용이 더 있으나, 기술적인 내용보다는 NSO 서버의 관한 내용, 그리고 통계나 일반적인 보안 관련 권고 사항들이라 넘어가도록 하겠습니다.생략한 내용중에는 MVT라는 도구를 사용해 페가수스를 탐지하는 내용도 있는데, 엔드유저용이 아니기 때문에제가 조금만 더 공부해보고 가능하면 빨리 관련 글을 올리도록 하겠습니다.마지막 아이메시지 취약점은 iOS 14.6때 발견된 취약점으로, 14.8에 패치가 되었습니다. 모두 늦지 않도록 패치를 진행하시는걸 권장드립니다.

출처 : https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/

addffg

행성: 천왕성

포인트: 3,089 exp

작성물 댓글

모든회원 자기소개 펼치기

댓글: 5개

팁/노하우 게시판 - 회원들의 다양한 IT/하드웨어 팁과 정보

공지 퀘이사존 규정(25.08.04)

퀘이사존

18k

03-16

전체 하드웨어 게임 콘솔 모바일 소프트웨어 기타

제목	닉네임	조회수	날짜
0 [정보] RX 6500 XT / 6400 게임 중 무작위 재부팅 및 튕김 해결 통합 패치 (인텔/AMD PC... 0	user_1148167	75	06-25
0 간단 PC 테스트 사이트 0	sdfbiupsgmf	73	06-23
0 바우아토 BAUATO 짭플펜슬 (개인적인) 사용기 0	ELKalliance	66	06-21
0 알리산 Attack Shark R1 배터리 교체 0	ELKalliance	84	06-21
1 [제보]Synology NAS 2FA / Secure SignIn 관련 사용자 보호 이슈 1	user_1144668	237	05-31
0 9070xt 라데온 포르자 호라이즌6 스타터링 해결법 0	user_1123952	275	05-29
0 윈도우 게임 성능 최적화 레지스트리 설정｜FPS·입력지연·스터터링 줄이는 방법 2	user_1085356	622	05-13
0 갤북4프로360과 3090ti의 오큐링크 조합 및 자작쿨링시스템 후기 0	돌뉴	202	04-22
0 PC 유튜브 및 뮤직 동영상 재생불가 문제 0	poringle	450	04-13
0 스팀에서 원하는 금액만 충전하기 0	lamanus	666	03-15
0 모니터 주사율 관련 (feat. 제미나이) 0	dragonball	712	03-11
3 롤 프레임드랍 5	어택이	1.1k	01-13
1 게임 성능을 올리는 레지스트리 등 설정 1/5 2	티플레티넘	1.9k	01-04
1 미세스터터링 해결방법 1	인공지능	1.9k	01-02
0 AM4소켓 백플레이트 메인보드에 고정방법 0	신세계-이자성	833	12-22
0 가성비 CPU부터 최고의 CPU까지 2025 CPU TOP5(개인의견) 0	영재컴퓨터	4.5k	12-03
6 Mchose V9/V9 PRO 헤드셋 추가설정법 0	StayGlyde	8k	11-30
1 OBS 녹화 시 VRR 스터터링 해결 (OverlayMinFPS) 0	MouseSports	850	11-09
5 PC에서 콘솔처럼 영화적이고 부드러운 30프레임으로 똑같이 만드는 방법 9	아이엔에프피	4.1k	11-01
9 (팁)오디세이 G7 32DG702(700) 스마트 모니터 설정값 추천(HDR) 3	승길씨	11k	10-19
0 하이마트 발 오피스 홈&스튜던트 pc 옮길때 이전 설치 0	조조맹덕	565	10-15
0 써모랩 트리니티 120mm로 팬 교체하기 0	Kodorai	773	09-26
1 모니터 입력지연 줄이기 0	티플레티넘	1.5k	09-24
1 글카 성능 올리기 9/23 7	티플레티넘	3.3k	08-26
3 (팁) 라데온 쉬운 언더볼팅/오버클럭 방법 0	승길씨	5k	08-15
2 (팁)라데온 RSR, AFMF의 활용법 2	승길씨	1.9k	08-15
2 저장장치(HDD) 신품 구매하고, 불량섹터 검사하는 경우 0	폐지줍기달인	1.2k	07-27
0 컴퓨존 주문형 네이버페이는 네이버라인 신한카드 혜택 가능합니다. 2	닉바꾸기어렵다	1.3k	07-23
3 주모니터 게임 + 보조모니터 유튜브시청시 오리 활용하세요~ 6	KORJasonL	3.1k	07-04
1 컴퓨터,노트북 프리징-멈춤 현상 해결법 2	하드망령	10.7k	06-30