정보 탈취형 악성코드 ‘Vidar’, 스팸 메일 및 PUP, KMSAuto 인증 툴로 위장해 설치
[보안뉴스 원병철 기자] 최근 Vidar 인포스틸러 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하는 정황이 확인됐다고 안랩 ASEC 분석팀이 밝혔다.
Vidar는 정보 탈취형(인포스틸러) 악성코드로 스팸 메일이나 PUP, 그리고 KMSAuto 인증 툴로 위장해 설치되며, 최근에는 Stop 랜섬웨어와 같이 다른 악성코드를 통해 설치되는 등 과거부터 꾸준히 유포되고 있다.
Vidar가 실행되면 먼저 정보 탈취 행위를 수행하기 이전에 명령제어(C&C) 서버에 접속하여 탈취할 정보들에 대한 명령과 필요한 DLL들을 전달받는다. 과거에는 일반적인 악성코드들과 같이 단순히 C&C 서버에 접속해 명령 및 추가 파일들을 전달받았다면, 최근 확인되고 있는 Vidar는 실제 C&C 서버를 구하기 위해 다양한 플랫폼을 악용하고 있다. 지난해는 FaceIt이라는 게임 매칭 플랫폼을 악용하기도 했다.
최근 확인되고 있는 Vidar는 마스토돈(Mastodon)이라고 하는 SNS 플랫폼을 악용하고 있다. Vidar가 실행되면 C&C 서버 통신 이전에 마스토돈 즉 noc.social 웹사이트에 접속한다. 해당 웹 페이지는 구체적으로 ‘banda5ker’라고 하는 사용자의 프로필 페이지이다.
해당 프로필의 자기소개란을 보면 다음과 같은 문자열을 확인할 수 있다. 이 문자열은 Vidar 악성코드의 실제 C&C 서버 주소다.
‘hello 162.55.213[.]180|’
Vidar는 해당 웹 페이지의 본문을 다운로드 받아 ‘hello’ 문자열을 검색한 후 ‘|’ 구분자 사이에 존재하는 C&C 주소를 파싱한다.
만약 공격자가 프로필 항목을 수정해 다른 주소를 적는다면 Vidar 인포스틸러도 수정한 C&C 서버에 접속해 악성 행위를 수행하는 것으로 추정된다. 마스토돈의 공격자 계정이 막히지 않는다면, 공격자는 주기적으로 C&C 서버를 수정해 동일한 악성코드라고 하더라도 다른 C&C 서버에 접속하게 할 수 있다. 즉, 이러한 방식을 사용하는 것은 C&C 주소에 대한 네트워크 탐지를 우회하기 위한 것으로 보인다.
Vidar는 이렇게 확보한 실제 C&C 서버에 접속하여 명령 및 정보 탈취에 필요한 DLL들을 전달받으며, 최종적으로 탈취한 정보를 C&C 서버에 전달한다. 참고로 전달하는 데이터를 보면 해당 Vidar의 버전이 v49.6인 것을 알 수 있다. 과거 Faceit을 악용했던 Vidar는 버전이 v38.6이었다.
현재 안랩 ASEC는 V3 제품에서 해당 악성코드를 아래와 같이 진단 중이라고 밝혔다.
[파일 진단]
– Infostealer/Win.SmokeLoader.R465643 (2022.01.19.01)
[행위 진단]
– Malware/MDP.Vidar.M3505
[IOC]
- 파일: 185cc9e866a23c5cff47d41e8834ffad
[C&C]
– hxxps://noc[.]social/@banda5ker
– hxxp://162.55.213[.]180
현재 Vidar 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하고 있는 만큼 국내 마스토돈 SNS 사용자는 각별한 주의가 필요하다.
[원병철 기자(boanone@boannews.com)]
[보안뉴스 원병철 기자] 최근 Vidar 인포스틸러 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하는 정황이 확인됐다고 안랩 ASEC 분석팀이 밝혔다.
▲마스토돈(Mastodon) 홈페이지[자료=안랩 ASEC분석팀]
Vidar는 정보 탈취형(인포스틸러) 악성코드로 스팸 메일이나 PUP, 그리고 KMSAuto 인증 툴로 위장해 설치되며, 최근에는 Stop 랜섬웨어와 같이 다른 악성코드를 통해 설치되는 등 과거부터 꾸준히 유포되고 있다.
Vidar가 실행되면 먼저 정보 탈취 행위를 수행하기 이전에 명령제어(C&C) 서버에 접속하여 탈취할 정보들에 대한 명령과 필요한 DLL들을 전달받는다. 과거에는 일반적인 악성코드들과 같이 단순히 C&C 서버에 접속해 명령 및 추가 파일들을 전달받았다면, 최근 확인되고 있는 Vidar는 실제 C&C 서버를 구하기 위해 다양한 플랫폼을 악용하고 있다. 지난해는 FaceIt이라는 게임 매칭 플랫폼을 악용하기도 했다.
최근 확인되고 있는 Vidar는 마스토돈(Mastodon)이라고 하는 SNS 플랫폼을 악용하고 있다. Vidar가 실행되면 C&C 서버 통신 이전에 마스토돈 즉 noc.social 웹사이트에 접속한다. 해당 웹 페이지는 구체적으로 ‘banda5ker’라고 하는 사용자의 프로필 페이지이다.
▲공격자의 마스토돈 프로필[자료=안랩 ASEC분석팀]
해당 프로필의 자기소개란을 보면 다음과 같은 문자열을 확인할 수 있다. 이 문자열은 Vidar 악성코드의 실제 C&C 서버 주소다.
‘hello 162.55.213[.]180|’
Vidar는 해당 웹 페이지의 본문을 다운로드 받아 ‘hello’ 문자열을 검색한 후 ‘|’ 구분자 사이에 존재하는 C&C 주소를 파싱한다.
▲C&C 주소 파싱 루틴[자료=안랩 ASEC분석팀]
만약 공격자가 프로필 항목을 수정해 다른 주소를 적는다면 Vidar 인포스틸러도 수정한 C&C 서버에 접속해 악성 행위를 수행하는 것으로 추정된다. 마스토돈의 공격자 계정이 막히지 않는다면, 공격자는 주기적으로 C&C 서버를 수정해 동일한 악성코드라고 하더라도 다른 C&C 서버에 접속하게 할 수 있다. 즉, 이러한 방식을 사용하는 것은 C&C 주소에 대한 네트워크 탐지를 우회하기 위한 것으로 보인다.
Vidar는 이렇게 확보한 실제 C&C 서버에 접속하여 명령 및 정보 탈취에 필요한 DLL들을 전달받으며, 최종적으로 탈취한 정보를 C&C 서버에 전달한다. 참고로 전달하는 데이터를 보면 해당 Vidar의 버전이 v49.6인 것을 알 수 있다. 과거 Faceit을 악용했던 Vidar는 버전이 v38.6이었다.
▲탈취한 정보를 전달하는 Vidar의 네트워크 행위[자료=안랩 ASEC분석팀]
현재 안랩 ASEC는 V3 제품에서 해당 악성코드를 아래와 같이 진단 중이라고 밝혔다.
[파일 진단]
– Infostealer/Win.SmokeLoader.R465643 (2022.01.19.01)
[행위 진단]
– Malware/MDP.Vidar.M3505
[IOC]
- 파일: 185cc9e866a23c5cff47d41e8834ffad
[C&C]
– hxxps://noc[.]social/@banda5ker
– hxxp://162.55.213[.]180
현재 Vidar 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하고 있는 만큼 국내 마스토돈 SNS 사용자는 각별한 주의가 필요하다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
