DeepLoad Malware

최근 발견된 공격 캠페인은 ClickFix 소셜 엔지니어링 기법을 이용하여 감염을 시작합니다. 피해자는 조작된 시스템 문제를 해결한다는 명목으로 Windows 실행 대화 상자에 악성 PowerShell 명령어를 붙여넣도록 유도됩니다. 이 초기 단계에서는 정상적인 Windows 유틸리티인 mshta.exe를 악용하여 난독화된 PowerShell 기반 로더를 검색하고 실행합니다.

회피를 위해 고안된 난독화

PowerShell 로더는 과도하고 무의미한 변수 할당을 통해 본래의 목적을 숨겨 정적 분석을 매우 어렵게 만듭니다. 인공지능 도구가 이러한 난독화 계층을 구축하는 데 사용되었을 가능성이 높으며, 이를 통해 악성코드의 정교함이 더욱 강화되었습니다. 이러한 접근 방식을 통해 악성코드는 기존의 탐지 메커니즘을 우회하면서도 작동상의 무결성을 유지할 수 있습니다.

시스템 위장을 통한 은밀한 침투

DeepLoad는 표준 Windows 운영 체제에 완벽하게 통합되도록 특별히 설계되었습니다. 악성코드는 Windows 잠금 화면을 관리하는 정상적인 프로세스인 LockAppHost.exe라는 실행 파일 내에 숨겨져 있습니다. 더욱 은밀하게 작동하도록 하기 위해, 이 악성코드는 PowerShell 명령 기록을 비활성화하고 표준 PowerShell 명령 대신 Windows 핵심 기능을 직접 호출합니다. 이러한 기법을 통해 PowerShell 활동을 추적하는 모니터링 시스템을 회피할 수 있습니다.

파일리스 기술 및 동적 페이로드 생성

탐지 가능성을 최소화하기 위해 DeepLoad는 디스크에 일관된 흔적을 남기지 않습니다. PowerShell의 Add-Type 기능을 사용하여 보조 구성 요소를 동적으로 생성하고, C# 코드를 컴파일하여 사용자의 임시 디렉터리에 저장되는 임시 DLL 파일로 만듭니다. 실행할 때마다 고유한 이름의 파일이 생성되므로 알려진 시그니처에 의존하는 파일 기반 탐지 방법을 효과적으로 우회할 수 있습니다.

은밀한 처형을 위한 고급 주사

핵심적인 회피 전략 중 하나는 비동기 프로시저 호출(APC) 주입을 이용하는 것입니다. 악성코드는 정상적인 Windows 프로세스를 일시 중단된 상태로 실행하고, 셸코드를 해당 프로세스의 메모리에 직접 주입한 후 실행을 재개합니다. 이 방법을 통해 악성 페이로드는 신뢰할 수 있는 프로세스 내에서 실행되면서도 디코딩된 버전이 디스크에 기록되지 않으므로, 포렌식 분석 시 흔적을 크게 줄일 수 있습니다.

지속적인 자격 증명 탈취 메커니즘

DeepLoad는 실행 즉시 민감한 사용자 데이터를 추출하도록 설계되었습니다. 주요 기능은 다음과 같습니다.

• 감염된 시스템에서 저장된 브라우저 비밀번호를 직접 수집합니다.
• 로그인 시도 중에 실시간으로 자격 증명을 캡처하고 수동으로 제거하지 않는 한 세션 간에 유지되는 악성 브라우저 확장 프로그램을 배포합니다.

탈착식 매체를 통한 측방 확산

이 악성 프로그램은 이동식 저장 장치를 악용하도록 설계된 전파 기법을 사용합니다. USB 드라이브 또는 유사한 저장 장치를 감지하면, 정상적인 설치 프로그램으로 위장한 악성 바로가기 파일을 복사합니다. 이러한 파일은 신뢰할 수 있는 것처럼 보이도록 이름이 지정되어 있어 사용자의 상호 작용 및 추가 감염 가능성을 높입니다.

WMI 남용으로 인한 무증상 재감염

DeepLoad는 Windows Management Instrumentation(WMI)을 사용하여 지속성을 확보합니다. 이 프로그램은 이벤트 구독을 생성하여 3일의 지연 후 재감염을 유발하며, 사용자 상호 작용이나 공격자의 개입이 필요하지 않습니다. 또한 이 기법은 예상되는 부모-자식 프로세스 관계를 파괴하여 기존의 탐지 모델을 무력화합니다.

전략적 목표: 킬 체인 전체 범위 확보

DeepLoad의 전체적인 설계는 사이버 킬 체인 전반에 걸쳐 작업을 수행할 수 있는 다기능 악성코드 프레임워크임을 보여줍니다. 운영 전략은 다음과 같은 사항에 중점을 둡니다.

• 디스크 기반 아티팩트를 방지하여 탐지 가능성을 줄입니다.
• 정상적인 Windows 프로세스 내에 악성 활동을 혼합
• 시스템 전반에 걸쳐 빠르게 확산되어 영향력을 확대하고 있습니다.

확장 가능한 위협 프레임워크의 지표

DeepLoad의 인프라 및 모듈식 설계는 공유 또는 서비스 기반 배포 모델의 가능성을 시사합니다. 이러한 특징은 서비스형 악성코드(MaaS) 제공 방식과 일치하지만, 현재로서는 이를 확정적으로 분류할 만한 충분한 증거가 없습니다.