Home > Security

마스토돈 SNS를 악용하는 Vidar 악성코드 유포중

  |  입력 : 2022-01-23 23:08
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
정보 탈취형 악성코드 ‘Vidar’, 스팸 메일 및 PUP, KMSAuto 인증 툴로 위장해 설치

[보안뉴스 원병철 기자] 최근 Vidar 인포스틸러 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하는 정황이 확인됐다고 안랩 ASEC 분석팀이 밝혔다.

▲마스토돈(Mastodon) 홈페이지[자료=안랩 ASEC분석팀]


Vidar는 정보 탈취형(인포스틸러) 악성코드로 스팸 메일이나 PUP, 그리고 KMSAuto 인증 툴로 위장해 설치되며, 최근에는 Stop 랜섬웨어와 같이 다른 악성코드를 통해 설치되는 등 과거부터 꾸준히 유포되고 있다.

Vidar가 실행되면 먼저 정보 탈취 행위를 수행하기 이전에 명령제어(C&C) 서버에 접속하여 탈취할 정보들에 대한 명령과 필요한 DLL들을 전달받는다. 과거에는 일반적인 악성코드들과 같이 단순히 C&C 서버에 접속해 명령 및 추가 파일들을 전달받았다면, 최근 확인되고 있는 Vidar는 실제 C&C 서버를 구하기 위해 다양한 플랫폼을 악용하고 있다. 지난해는 FaceIt이라는 게임 매칭 플랫폼을 악용하기도 했다.

최근 확인되고 있는 Vidar는 마스토돈(Mastodon)이라고 하는 SNS 플랫폼을 악용하고 있다. Vidar가 실행되면 C&C 서버 통신 이전에 마스토돈 즉 noc.social 웹사이트에 접속한다. 해당 웹 페이지는 구체적으로 ‘banda5ker’라고 하는 사용자의 프로필 페이지이다.

▲공격자의 마스토돈 프로필[자료=안랩 ASEC분석팀]


해당 프로필의 자기소개란을 보면 다음과 같은 문자열을 확인할 수 있다. 이 문자열은 Vidar 악성코드의 실제 C&C 서버 주소다.

‘hello 162.55.213[.]180|’
Vidar는 해당 웹 페이지의 본문을 다운로드 받아 ‘hello’ 문자열을 검색한 후 ‘|’ 구분자 사이에 존재하는 C&C 주소를 파싱한다.

▲C&C 주소 파싱 루틴[자료=안랩 ASEC분석팀]


만약 공격자가 프로필 항목을 수정해 다른 주소를 적는다면 Vidar 인포스틸러도 수정한 C&C 서버에 접속해 악성 행위를 수행하는 것으로 추정된다. 마스토돈의 공격자 계정이 막히지 않는다면, 공격자는 주기적으로 C&C 서버를 수정해 동일한 악성코드라고 하더라도 다른 C&C 서버에 접속하게 할 수 있다. 즉, 이러한 방식을 사용하는 것은 C&C 주소에 대한 네트워크 탐지를 우회하기 위한 것으로 보인다.

Vidar는 이렇게 확보한 실제 C&C 서버에 접속하여 명령 및 정보 탈취에 필요한 DLL들을 전달받으며, 최종적으로 탈취한 정보를 C&C 서버에 전달한다. 참고로 전달하는 데이터를 보면 해당 Vidar의 버전이 v49.6인 것을 알 수 있다. 과거 Faceit을 악용했던 Vidar는 버전이 v38.6이었다.

▲탈취한 정보를 전달하는 Vidar의 네트워크 행위[자료=안랩 ASEC분석팀]


현재 안랩 ASEC는 V3 제품에서 해당 악성코드를 아래와 같이 진단 중이라고 밝혔다.

[파일 진단]
– Infostealer/Win.SmokeLoader.R465643 (2022.01.19.01)

[행위 진단]
– Malware/MDP.Vidar.M3505

[IOC]
- 파일: 185cc9e866a23c5cff47d41e8834ffad

[C&C]
– hxxps://noc[.]social/@banda5ker
– hxxp://162.55.213[.]180

현재 Vidar 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하고 있는 만큼 국내 마스토돈 SNS 사용자는 각별한 주의가 필요하다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 1
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기

  •  SNS에서도 보안뉴스를 받아보세요!! 
에스케어 파워비즈 배너 2022년 3월15일 시작~ 12개월 위즈디엔에스 2018 파워비즈배너 시작 11월6일 20181105-20200131
설문조사
올해 기업에서의 클라우드 도입이 본격 확산될 것으로 보이는 가운데 이에 따른 보안 이슈도 부각되고 있습니다. 클라우드 보안 강화를 위한 방안으로 가장 주목 받을 솔루션은 무엇이라고 보시나요?
CASB(Cloud Access Security Broker, 클라우드 접근 보안중개)
CSPM(Cloud Security Posture Management, 클라우드 보안 형상 관리)
CWPP(Cloud Workload Protection Platform, 클라우드 워크로드 보호 플랫폼)
기타(댓글로)