이중 페이로드 악성코드 캠페인

최근 발견된 악성코드 캠페인이 두 가지 서로 다른 위협을 동시에 배포할 수 있는 능력 때문에 사이버 보안 커뮤니티에서 큰 주목을 받고 있습니다. 이 캠페인은 난독화된 단일 로더를 사용하여 Gh0st RAT와 CloverPlus를 동일한 감염된 시스템에 배포합니다.

이러한 조합은 흔치 않으면서도 매우 전략적입니다. Gh0st RAT는 감염된 시스템에 대한 완전한 원격 제어를 가능하게 하는 반면, CloverPlus는 브라우저 활동 조작, 광고 요소 삽입, 그리고 성가신 팝업 광고를 통한 수익 창출에 중점을 둡니다. 이러한 이중 배포를 통해 공격자는 지속적인 무단 접근을 유지하면서 감염을 실시간으로 수익화할 수 있습니다.

이번 캠페인은 공격자들이 단일 침해를 통해 운영 효율성과 금전적 수익을 극대화하기 위해 여러 개의 페이로드를 동시에 전송하는 추세가 증가하고 있음을 보여줍니다.

난독화 전술: 페이로드 숨기기

이 캠페인의 핵심인 로더는 은밀성을 위해 설계되었습니다. 로더는 리소스 섹션 내에 두 개의 암호화된 페이로드를 내장하고, 난독화 기법을 사용하여 기존의 탐지 메커니즘을 회피합니다.

실행은 AdWare.Win32.CloverPlus로 식별되는 CloverPlus 애드웨어 모듈과 wiseman.exe라는 실행 파일로 시작됩니다. 이 구성 요소는 브라우저 시작 설정을 변경하고 지속적인 팝업 광고를 삽입합니다.

이어서 로더는 실행 경로를 평가합니다. 시스템의 %temp% 디렉터리에서 실행 중이 아니면, 해당 디렉터리에 자체 복사본을 생성한 후 진행합니다. 다음 단계는 악성코드 바이너리 내에 암호화된 리소스로 숨겨져 있는 Gh0st RAT 클라이언트 모듈을 복호화하는 것입니다.

암호 해독이 완료되면 악성 프로그램은 페이로드에 임의의 파일 이름을 지정하고 C:\ 드라이브의 루트에 있는 임의의 이름의 폴더에 저장하여 탐지 및 분석을 더욱 어렵게 만듭니다.

자연에서 살아가는 삶: 믿음직한 도구, 악의적인 의도

복호화된 페이로드를 실행하기 위해 악성코드는 정상적인 Windows 유틸리티인 rundll32.exe를 이용합니다. 이러한 접근 방식을 통해 악성코드는 신뢰할 수 있는 시스템 프로세스로 위장하여 실행되므로 보안 방어 시스템에 탐지될 가능성이 크게 줄어듭니다.

Gh0st RAT는 활성화되면 MAC 주소 및 하드 드라이브 일련 번호와 같은 고유 식별자를 수집하여 감염된 시스템의 프로파일링을 시작합니다. 이러한 정보는 공격자의 명령 및 제어 인프라에 피해자를 등록하는 데 사용되어 감염된 호스트를 정확하게 추적하고 관리할 수 있도록 합니다.

지속성 메커니즘: 장기적인 접근성 보장

시스템 재부팅 후에도 접근 권한을 유지하는 것이 이 캠페인의 핵심 목표입니다. Gh0st RAT는 운영 체제 깊숙이 내장된 여러 기술을 통해 지속성을 확보합니다.

Windows 시작 시 자동 실행되도록 Windows 실행 레지스트리 키를 수정합니다.
SYSTEM\CurrentControlSet\Services\RemoteAccess\RouterManagers\Ip 경로의 원격 액세스 서비스 경로에 악성 DLL이 등록되었습니다.

이러한 방법은 관련 서비스가 실행될 때마다 악성코드에 시스템 수준 권한을 부여하여 추가적인 사용자 상호 작용이 필요 없도록 하고 장기적인 제어를 강화합니다.

탐지 및 방어: 침해 지표

이 캠페인의 영향은 개인과 조직 모두에게 상당합니다. 애드웨어 구성 요소는 브라우저 기능을 방해하고 악성 광고 노출을 증가시키는 반면, RAT 구성 요소는 데이터 도용, 키 입력 기록, 보안 우회 및 지속적인 권한 접근을 가능하게 합니다.

보안팀은 다음과 같은 침해 징후를 지속적으로 경계하고 모니터링해야 합니다.

• rundll32.exe 실행 시 비정상적이거나 의심스러운 디렉터리에서 DLL 또는 비표준 파일 확장자를 로드합니다.
• %temp% 폴더에서 시작된 프로세스 활동
• 레지스트리 실행 키 또는 원격 액세스 서비스 구성에 대한 무단 수정
• 샌드박스 탐지를 회피하기 위한 핑 기반 지연 사용
• 비정상적인 DNS 트래픽 패턴 및 시스템 호스트 파일의 예기치 않은 변경

이러한 신호에 대한 사전 예방적 모니터링과 신속한 대응은 정교한 이중 위협 악성코드 공격으로 인한 위험을 완화하는 데 매우 중요합니다.