97. CharmingKitten's BellaCPP(correlation Sofacy)

얼마 전, 이란 APT 그룹 중 하나인 CharmingKitten(aka APT35)의 새로운 악성코드인 BellaCPP가 발견되었다. 해당 악성코드는 C++로 작성된 Bellaciao의 새로운 종류로 보여진다.

https://securityaffairs.com/172299/malware/bellacpp-charming-kittens-bellaciao-variant-written-in-c.html

BellaCPP, Charming Kitten's BellaCiao variant written in C++

 

해당 이벤트와 관련해 MISP 서버에 잡힌 상관관계가 존재한다. 상관관계는 Sofacy(aka APT28) 그룹이 수행한 공격 중 사용된 도메인에서 나타났다.

상관관계 그래프 중 일부

 

Sofacy 그룹이 공격에 사용한 도메인들이 정리된 이벤트에 포함된 도메인 중 하나가 해당 공격에서 사용된 것으로 나타났다. 해당 도메인은 systemupdate[.]info 이며 BellaCPP 악성코드에서는 생성하는 도메인 값 중 일부로 사용되었다.

* BellaCPP 생성 도메인 규칙: <5자리랜덤문자><대상 식별자>.<나라 코드>.systemupdate[.]info