이브린 스틸러

에블린은 보안 분석 및 탐지를 적극적으로 회피하면서 민감한 데이터를 은밀하게 수집하도록 설계된 정교한 정보 탈취 악성 프로그램입니다. 주요 기능은 감염된 시스템에서 중요한 정보를 수집하여 FTP를 통해 공격자의 명령 및 제어(C2) 인프라로 유출하는 것입니다.

이 악성 프로그램은 저장된 브라우저 자격 증명, 클립보드 내용, Wi-Fi 비밀번호, 암호화폐 지갑 정보, 상세한 시스템 정보 등 광범위한 데이터를 수집할 수 있습니다. 수집이 완료되면 탈취된 모든 자료는 ZIP 파일로 압축되어 공격자의 FTP 서버로 전송됩니다.

윈도우 기능의 자동 설치 및 악용

이브린은 실행될 때 프로세스 삽입, 파일 및 레지스트리 접근, 네트워크 통신, 클립보드 모니터링 등 작동에 필요한 Windows 구성 요소를 동적으로 로드합니다. 이러한 기능을 통해 악성코드는 시스템에 깊숙이 통합되어 데이터 탈취 목표를 달성할 수 있습니다.

은밀성을 유지하기 위해 에블린은 수동 및 자동 분석 모두를 회피하도록 설계되었습니다. 완전히 활성화되기 전에 주변 환경을 평가하여 조사 대상인지 여부를 판단합니다.

내장 분석 및 샌드박스 회피

Evelyn은 가상 머신, 디버거, 보안 또는 연구 도구를 탐지하기 위해 여러 가지 분석 방지 기술을 사용합니다. 시스템이 실제 사용자 환경으로 확인된 후에만 다음 단계로 진행합니다.

이 단계에서 악성 프로그램은 사용자의 AppData 폴더 내에 자체 디렉터리를 생성하고, 이를 사용하여 수집한 정보와 보조 파일을 저장합니다.

공격적인 브라우저 타겟팅 및 프로세스 조작

이 악성 프로그램은 시스템에 이미 존재하는 브라우저 데이터를 수집하는 것으로 시작하여 실행 중인 브라우저를 강제로 종료합니다. 이는 데이터 충돌을 방지하고 다음 단계인 주입을 위한 환경을 조성하는 역할을 합니다.

Evelyn은 브라우저 로그인 정보를 탈취하기 위해 특정 보조 파일이 필요합니다. 먼저 시스템의 TEMP 디렉터리에 해당 파일이 있는지 확인합니다. 없으면 FTP 서버에서 파일을 다운로드하려고 시도합니다. 최후의 수단으로 악성 프로그램 자체가 실행 중인 디렉터리를 검색합니다.

파일을 확보한 후, 에블린은 매우 정밀하게 제어된 방식으로 대상 브라우저를 실행하고 악성 구성 요소를 은밀하게 삽입합니다. 이를 통해 브라우저에 내장된 보안 기능을 우회할 수 있습니다. 사용자나 보안 소프트웨어에 경고를 보내지 않도록, 브라우저는 여러 숨겨진 매개변수를 사용하여 시작됩니다. 이러한 매개변수는 창을 숨기고, 보안 기능 및 확장 프로그램을 비활성화하며, 로그 생성을 방지하고, 브라우저가 열렸다는 표시를 감춥니다. 이러한 조치를 통해 브라우저 데이터를 조용히 추출할 수 있습니다.

데이터 수집 범위 확장

에블린은 브라우저를 넘어 데스크톱 화면을 캡처하고 현재 사용자 이름, 컴퓨터 이름, 운영 체제 버전, 설치된 애플리케이션, 실행 중인 프로세스, VPN 구성 등 광범위한 시스템 정보를 수집합니다. 또한 이 악성 프로그램은 암호화폐 지갑을 적극적으로 공격하고 클립보드를 모니터링하며 저장된 Wi-Fi 자격 증명을 탈취합니다.

수집된 모든 정보는 통합되어 ZIP 아카이브로 압축된 후 FTP를 통해 공격자의 C2 서버로 유출됩니다.

감염 벡터: 트로이목마화된 개발자 확장 프로그램

Evelyn은 정상적인 추가 기능으로 위장한 악성 Visual Studio Code 확장 프로그램을 통해 배포됩니다. 이 확장 프로그램이 설치되면 일반 Lightshot 동적 링크 라이브러리(DLL)로 위장한 악성 파일이 생성됩니다. 그러면 정품 Lightshot 애플리케이션은 이 가짜 DLL을 로드하여 공격자의 코드를 자신도 모르게 실행하게 됩니다.

활성화되면 악성 DLL은 숨겨진 PowerShell 명령을 실행하여 추가 페이로드를 다운로드합니다. 이 보조 구성 요소는 Evelyn 정보 탈취 악성코드를 주입하고 활성화하는 역할을 합니다.

보안 영향 및 위험 평가

에블린은 은밀한 공격 방식, 광범위한 데이터 수집 범위, 그리고 강력한 회피 기술로 인해 매우 위험한 위협입니다. 브라우저 데이터, 시스템 인텔리전스, 그리고 암호화폐 자산을 노리는 특성 때문에 감염 시 특히 위험합니다. 이 악성코드에 감염되면 금전적 손실, 계정 탈취, 그리고 신원 도용으로 이어질 수 있으므로, 강력한 엔드포인트 보호, 신중한 확장 프로그램 설치, 그리고 비정상적인 시스템 동작에 대한 지속적인 모니터링이 매우 중요합니다.