FrigidStealer Stealer
사이버 보안 연구원들은 FrigidStealer라는 이전에 알려지지 않은 macOS 위협을 배포하기 위해 웹 주입을 배포하는 새로운 캠페인을 발견했습니다. 이 캠페인은 Windows(Lumma Stealer, DeerStealer) 및 Android( Marcher )를 표적으로 삼는 정보 도용 위협과도 관련이 있는 TA2727이라는 위협 행위자와 관련이 있습니다.
목차
TA2727 및 위협 환경에서의 역할
TA2727은 가짜 업데이트 미끼를 사용하여 다양한 악성 페이로드를 배포하는 것으로 알려져 있습니다. 악성 트래픽 분배 시스템(TDS)을 운영하는 것으로 평가된 행위자인 TA2726과 함께 새롭게 식별된 위협 클러스터 중 하나입니다. 이 시스템은 손상된 웹 트래픽을 TA2727 및 TA569와 같은 위협 행위자에게 전달하여 맬웨어를 확산할 수 있도록 합니다.
TA2726과 다른 위협 행위자 간의 관계
TA2726은 TA2727과 TA569 모두의 TDS 역할을 하여 맬웨어 배포에서 핵심적인 역할을 합니다. 후자는 손상된 웹사이트에서 브라우저 업데이트로 위장한 JavaScript 기반 로더인 SocGholish(FakeUpdates라고도 함)를 배포한 것으로 악명이 높습니다. 적어도 2022년 9월부터 TA2726은 이러한 재정적 동기를 가진 위협 행위자의 트래픽 리디렉션을 용이하게 해 사이버 위협 환경에서 필수적인 플레이어가 되었습니다.
가짜 업데이트 및 지리적으로 타겟팅된 페이로드
TA2727과 TA569는 모두 손상된 JavaScript가 주입된 웹사이트를 통해 위협을 배포합니다. 이러한 손상된 사이트는 사용자를 속여 Google Chrome 또는 Microsoft Edge용 가짜 브라우저 업데이트를 다운로드하게 합니다. 그러나 TA2727은 수신자의 위치와 기기 유형에 따라 특정 맬웨어를 제공하는 보다 맞춤화된 접근 방식을 사용합니다.
예를 들어, 프랑스나 영국의 Windows 사용자가 감염된 웹사이트를 방문하면 Hijack Loader(DOILoader)를 시작하는 MSI 설치 프로그램 파일을 다운로드하라는 메시지가 표시될 수 있으며, 그러면 Lumma Stealer가 전달됩니다. 마찬가지로, 같은 방식으로 리디렉션된 Android 사용자는 10년 이상 활동해 온 악명 높은 뱅킹 트로이 목마인 Marcher를 모르게 다운로드할 수 있습니다.
macOS 사용자로 공격 확대
2025년 1월 현재 TA2727은 북미 이외 지역에 거주하는 macOS 사용자를 대상으로 캠페인을 확대했습니다. 이러한 사용자는 새로 식별된 정보 도용범인 FrigidStealer의 다운로드를 트리거하는 사기성 업데이트 페이지로 리디렉션됩니다.
Apple의 Gatekeeper 보안 기능을 우회하기 위해 FrigidStealer 설치 프로그램은 사용자가 서명되지 않은 애플리케이션을 수동으로 실행하도록 요구합니다. 실행되면 내장된 Mach-O 실행 파일은 위협을 설치하여 macOS를 대상으로 하는 사이버 범죄의 상당한 확대를 나타냅니다.
FrigidStealer의 작동 방식
FrigidStealer는 Go 프로그래밍 언어를 사용하여 구축되었으며 임시 서명 기능이 있습니다. 특히, 사용자 브라우저 내에서 콘텐츠를 렌더링할 수 있는 WailsIO 프로젝트를 활용합니다. 이 전략은 악성 설치 프로그램이 합법적이라는 착각을 강화하여 성공적인 감염 가능성을 높입니다.
FrigidStealer가 실행되면 AppleScript를 사용하여 사용자의 시스템 비밀번호를 요청하여 승격된 권한을 부여합니다. 이 액세스를 통해 위협은 파일, 민감한 브라우저 데이터, Apple Notes 및 암호화폐 관련 정보를 수집하여 영향을 받는 사용자에게 상당한 위험을 초래할 수 있습니다.
더 큰 그림: 웹 기반 맬웨어 캠페인
손상된 웹사이트를 맬웨어 전달 메커니즘으로 사용하는 것은 사이버 위협의 지속적인 추세를 강조합니다. 공격자는 대상의 운영 체제와 지리적 위치에 따라 페이로드를 사용자 지정하여 최대의 영향을 보장합니다. macOS 시스템은 Windows에 비해 기업 환경에서 덜 일반적이지만, 이 캠페인은 macOS 사용자가 진화하는 사이버 위협에 대해 경계해야 할 필요성이 커지고 있음을 강조합니다.
