Acreed Stealer

Acreed는 가장 널리 퍼진 정보 탈취 공격의 대열에 빠르게 합류한 최신 정보 탈취 공격입니다. 특히 자격 증명, 브라우저 아티팩트, 메시징 앱, 암호화폐 지갑을 표적으로 삼기 때문에, 단 한 번의 감염만으로도 자격 증명 도용, 암호화폐 이체 해킹, 계정 탈취, 그리고 피해자의 컴퓨터에 장기간 지속되는 악성코드 감염으로 이어질 수 있습니다. 따라서 엔드포인트와 사용자 행동을 보호하는 것이 매우 중요합니다. 민감한 데이터가 기기를 떠나면 완전히 복구하는 것이 불가능한 경우가 많습니다.

Acreed, 고부가가치 디지털 자산에 투자

Acreed는 즉각적인 금전적 가치가 있는 데이터나 계정 인수를 가능하게 하는 데이터에 중점을 둡니다.

• 브라우저(Brave, Chrome, Edge)에서 저장된 비밀번호, 쿠키 및 자동 완성 항목
• 브라우저 기반 및 시스템 암호화폐 지갑(전체 클라이언트 및 확장 지갑 모두)
• 사기나 소셜 엔지니어링에 악용될 수 있는 신용카드 데이터와 메시징 앱 데이터.

Acreed는 ArgentX, Binance, Coinbase, Crypto.com, Kasware, Martian, MetaMask, OKX, Phantom, Rabby, ReadyWallet, Ronin, Sui, ToonKeeper, TronLink, Trust 등 다양한 지갑 소프트웨어와 브라우저 확장 프로그램을 적극적으로 검색합니다. 설치된 애플리케이션과 브라우저 확장 프로그램 폴더를 모두 나열하여 키, 시드 구문, 개인 JSON 파일 또는 기타 지갑 자료를 찾을 확률을 극대화합니다.

맬웨어 작동 방식

Acreed는 일반적으로 로더(ShadowLoader)를 통해 전달되며 다단계 주입 및 수집 모델을 따릅니다.

• ShadowLoader는 합법적인 WebView2 DLL로 래핑된 두 개의 PE 파일을 삭제합니다. 이 합법적인 래퍼는 로더가 간단한 감지 및 서명 검사를 회피하는 데 도움이 됩니다.
• Acreed가 실행되면 브라우저의 '사용자 데이터' 디렉토리(북마크, 기록, 쿠키, 캐시, 확장 프로그램, 자동 완성 및 저장된 자격 증명)를 열거하고 지갑 파일과 확장 프로그램 데이터를 검색합니다.
• 이 악성코드는 후속 공격에 악용될 수 있는 메시징 앱 데이터와 기타 개인 파일을 수집합니다.
• 가장 중요한 점은 Acreed에 거래 하이재킹 기능이 포함되어 있다는 것입니다. 웹 페이지에 표시된 지갑 주소를 바꾸고, QR 코드를 변경하고, 클립보드 내용을 대체하고, 입력되거나 제출된 지갑 주소를 캡처할 수 있습니다. 이 모든 것은 자금을 공격자가 제어하는 지갑으로 흘려보내기 위한 것입니다.

특이한 명령 및 제어(C2) 기술

Acreed는 구성 및 C2에 비정형적인 공개 소스를 사용하여 합법적인 트래픽과 악성 신호를 혼합하는 데 도움이 됩니다.

• 일부 샘플은 BNB 스마트 체인 테스트넷에 배포된 스마트 계약에서 C2 정보를 검색합니다.
• 다른 샘플은 Steam과 같은 플랫폼의 공개 게시물을 사용하여 제어 데이터를 인코딩합니다.
  이러한 기술로 인해 C2 발견이 더욱 어려워지고 기존 C2 도메인에만 초점을 맞춘 탐지 규칙이 더욱 복잡해졌습니다.

Acreed를 유포하는 공격자는 광범위한 감염 경로 툴킷을 사용합니다.
불법 복제 소프트웨어 및 크랙된 설치 프로그램, 악성 광고, 기술 지원 사기, 이메일 첨부 파일 및 악성 링크, 타사 업데이터 및 다운로더, P2P 네트워크, 감염된 USB 장치, 패치되지 않은 소프트웨어 악용 등이 있습니다. 이러한 광범위한 공격 방식은 사용자가 직접적인 피싱과 일상적인 위험한 다운로드를 통해 노출될 수 있음을 의미합니다.

아크리드가 위험한 이유

Acreed는 암호화폐 지갑에 대한 집중적인 타겟팅과 광범위한 브라우저 및 메시징 데이터 유출을 결합하며, 은밀한 다단계 로더와 독특한 C2 채널을 사용하여 탐지를 복잡하게 만듭니다. 거래(웹페이지/QR 코드/클립보드 조작)를 가로채는 능력은 유출된 데이터를 거의 즉각적인 재정적 손실로 전환하므로 예방 및 신속한 봉쇄가 필수적입니다. 엔드포인트 제어를 강화하고, 저장된 비밀 정보를 줄이며, 확인된 감염을 매우 긴급한 사건으로 처리해야 합니다.