잉카인터넷 시큐리티대응센터 블로그

최근 마이크로소프트 빌드 엔진인 MSBuild를 악용해 코발트 스트라이크를 유포한 정황이 발견됐다. 공격자는 공격에 사용한 MSBuild에 코발트 스트라이크를 빌드 및 실행이 가능하도록 작성한 코드를 추가했다. 이후, 해당 빌드 엔진을 실행하면 공격자의 C&C 서버와 통신해 추가 페이로드를 다운로드한다. 보안 전문가는 이번 사건과 관련해 윈도우 디펜더에서 악성 프로그램 차단 정책을 사용하면 유사한 공격을 무력화할 수 있다고 언급했다. 출처 [1] SecurityAffairs (2021.12.30) - Threat actors are abusing MSBuild to implant Cobalt Strike Beacons https://securityaffairs.co/wordpress/126104/hack..

애플리케이션을 빌드하기 위한 프로그램인 "MSBuild"의 기능을 악용하여 악성코드를 유포한 사례가 발견되었다. "MSBuild" (Microsoft Build Engine)는 애플리케이션을 빌드하기 위해 마이크로소프트에서 제공하는 개발도구이며, 일반적으로 Visual Studio에서 애플리케이션을 빌드할 때 사용한다. 또한 Visual Studio가 설치되지 않은 환경에서도 빌드 할 수 있도록 기능을 제공하는데, 최근 발견된 사례의 경우 "MSBuild"의 기능을 악용해 악성코드를 실행하고 추가 악성행위를 수행한다. 악성 프로젝트 파일 "MSBuild"는 빌드 시 프로젝트 파일(.proj)을 읽어 빌드를 수행하는데, 프로젝트 파일에는 데이터베이스 설정, 다른 프로젝트 정보 가져오기 및 수행할 작업 지정..