솔라윈즈 백도어 전용 킬 스위치 개발돼

마이크로소프트, 파이어아이, GoDaddy가 솔라윈즈(SolarWinds) 공급망 공격에 사용된 썬버스트 백도어에 대한 킬 스위치를 만들었다.

지난주 러시아 관련 해커가 솔라윈즈를 해킹했고, 공격자는 트로이목마화 된 솔라윈즈 오리온 비즈니스 소프트웨어 업데이트를 사용해 SUNBURST(마이크로소프트 측은 Solarigate로 명명)라는 백도어를 배포했다.

회사는 약 3만3천개 오리온 고객에게 해당 사건을 알렸으나 1만8천개 미만 고객들은 자사 제품의 백보드 버전을 사용했을 가능성이 있다고 주장했다.

마이크로소프트는 피해를 입은 사용자를 식별하고 다른 시스템에 악성 소프트웨어가 제공되는 것을 방지하기 위해, 다른 사이버 보안 업체들과 협력해 솔라윈즈 공격에 사용된 기본 도메인 avsvmcloud.com을 점유했다.

도메인 avsvmcloud.com은 솔라윈즈 오리온 앱의 변조된 업데이트를 통해 약 1만8천명 고객에게 제공된 백도어용 C2 서버로 사용되었다.

솔라윈즈 오리온 플러그인의 변조된 버전은 네트워크 트래픽을 Orion Improve-ment Program(OIP) 프로토콜로 가장한 것이며, HTTP를 통해 C2와 통신해 ‘Jobs’라고 불리는 악성 명령을 검색하고 실행한다. 백도어는 파일 전송 및 실행, 시스템 서비스 비활성화, 정보 수집을 포함한 여러 기능을 지원한다.

공격자는 사용자와 동일한 국가의 VPN 서버를 사용해 IP 주소를 난독화하고 탐지를 피했다. 파이어아이에 따르면 C2 서버가 다음 범위 중 하나의 IP 주소로 확인되면 백도어가 종료되고 다시 실행되지 않는다.

- 10.0.0.0/8

- 172.16.0.0/12

- 192.168.0.0/16

- 224.0.0.0/3

- fc00:: – fe00::

- fec0:: – ffc0::

- ff00:: – ff00::

- 20.140.0.0/15

- 96.31.172.0/24

- 131.228.12.0/22

- 144.86.226.0/24