ModeLoader #Anderial #Lazarus

ModeLoader

[ 개요 ]
- Andariel 그룹이 주로 사용하는 JS 악성코드
- 파일 자체적으로 생성되는 것이 아니라 mshta를 통하여 외부로부터 다운로드되어 동작
  * 주로 자산 관리 솔루션을 악용하여 mshta를 동작 (Andariel 그룹은 과거 Innorix Agent부터 악성코드 유포를 위해 국내 업체의 자산 관리 솔루션들을 지속적으로 악용)
- 초기 침투용으로, 추후 미미카츠와 같은 추가 악성코드를 다운로드

[ 분석 내용 ]
- 난독화된 문자열 리스트에서 추출(복호)하여 사용
- C&C 서버에 접속하여 다운로드한 응답 데이터에 따라 행위를 수행
  1) 응답 데이터가 ’kill'인 경우: 실행 창 종료
  2) 응답 데이터가 ’kill'이 아닌 경우: 응답 데이터를 실행시킴
- 자체 디코딩 함수를 이용하며 특정 key string 존재
- 일정 시간이 지나면 자동으로 종료되도록 설정(setTimeout)

IoC

MD5
2C69C4786CE663E58A3CC093C6D5B530

C&C 주소
- hxxp://www.mssrv.kro.kr/modeRead.php
- hxxp://www.mssrv.kro.kr/modeWrite.php



[ Reference ]
ASEC, "국내 자산 관리 솔루션을 악용하여 공격 중인 Andariel 그룹 (MeshAgent)", 2024.03.11