위협 데이터베이스 키로거 키로거.MSIL.DiscordRAT.TT

키로거.MSIL.DiscordRAT.TT

키로거년에 CagedTech 년까지
게시됨:
마지막 업데이트:

위협 스코어카드

위협 수준: 80 % (높은)
처음 본 것: January 4, 2024
마지막으로 본: October 24, 2025
영향을 받는 OS: Windows

Keylogger.MSIL.DiscordRAT.TT는 Windows 기반 스파이웨어 위협으로, 키로거 유형에 속합니다. 키로거는 피해자가 컴퓨터에서 입력하고 수행하는 작업을 몰래 감시하고 기록하도록 설계된 악성 소프트웨어입니다. 위험도가 높은 것으로 분류된 이 위협은 민감한 정보를 조용히 수집하여 원격 공격자에게 전송하도록 설계되어 개인 정보 보호 및 금융 보안에 심각한 위협을 가합니다. 장기간에 걸쳐 실제 환경에서 발견되고 있는 것으로 보아, 컴퓨터 사용자는 여전히 이 위협에 주의해야 합니다.

Keylogger.MSIL.DiscordRAT.TT의 기능은 무엇인가요?

Keylogger.MSIL.DiscordRAT.TT는 시스템에 설치되면 백그라운드에서 작동하여 키 입력, 로그인 자격 증명, 감염된 시스템에 입력되거나 저장된 기타 정보와 같은 민감한 데이터를 캡처합니다. 이 프로그램은 .NET 프레임워크를 사용하여 제작되었으며 일반적인 "업데이트" 애플리케이션으로 위장하고 있습니다. 이는 악성 파일이 무해해 보이거나 정상적인 Windows 프로세스와 섞이도록 하기 위한 흔한 수법입니다. 데이터를 수집한 후에는 하드 드라이브에 로컬로 저장하거나, 네트워크 통신 기능을 사용하여 공격자가 제어하는 원격 서버로 전송하여 탈취한 정보를 전송할 수 있습니다.

이 특정 악성코드 계열은 Discord 관련 인프라를 악용하여 원격 접속 트로이목마(RAT) 기능을 수행하는 것으로 알려져 있습니다. 이는 사이버 범죄자들이 합법적이고 널리 사용되는 네트워크 서비스 내에 악성 트래픽을 숨길 수 있기 때문에 점점 더 선호하는 수법입니다. 데이터 탈취 외에도, 이 악성코드는 시스템 정보 확인, 네트워크 어댑터 세부 정보 조회, 시스템 권한 변경 시도 등 RAT에서 흔히 나타나는 동작을 보이며, 이러한 행위를 통해 감염된 장치에 대한 접근 권한을 유지하고 탐지를 회피합니다.

바이러스가 컴퓨터에 침투하는 일반적인 경로

Keylogger.MSIL.DiscordRAT.TT는 알려진 자체 확산 메커니즘이 없으며, 대부분의 키로거 및 RAT(원격 접속 트로이목마)와 마찬가지로 시스템을 감염시키기 위해 주로 속임수를 사용합니다. 이러한 유형의 위협은 악성 이메일 첨부 파일, 신뢰할 수 없는 웹사이트에서 제공되는 번들 다운로드, 가짜 소프트웨어 업데이트 또는 크랙, P2P 네트워크 또는 메시징 플랫폼을 통해 공유되는 파일 등을 통해 감염됩니다. 분석된 샘플은 디지털 서명이 없고 "업데이트" 유틸리티로 위장하고 있기 때문에 사용자는 이를 합법적인 시스템 또는 애플리케이션 업데이트로 오인하여 수동으로 실행할 수 있습니다.

사용자에게 미치는 위험

시스템에 이러한 키로거가 존재한다는 것은 심각한 위험을 초래합니다. 키로거는 비밀번호, 은행 정보, 신용카드 번호 등을 캡처할 수 있어 직접적인 금전적 손실, 개인정보 도용, 온라인 계정 무단 접근으로 이어질 수 있습니다. 도난당한 데이터는 원격 호스트로 전송되기 때문에 피해자는 피해가 발생하기 전까지 어떤 정보가 유출되었는지 정확히 알 수 없는 경우가 많습니다.

감염 징후

이러한 키로거는 소리 없이 실행되도록 설계되어 있어 감염 사실을 알아차리기 어려울 수 있습니다. 감염 징후로는 사용자 프로필 디렉터리에 예기치 않은 새 파일이나 폴더가 나타나는 경우, 비정상적인 네트워크 활동, 시스템 성능 저하, 백그라운드에서 실행되는 알 수 없는 프로세스, 계정 암호의 설명할 수 없는 변경 또는 온라인 서비스에서의 의심스러운 로그인 활동 등이 있습니다.

자신을 보호하는 방법

감염 위험을 줄이려면 공식적이지 않거나 신뢰할 수 없는 출처에서 소프트웨어, 업데이트 또는 크랙을 다운로드하지 말고, 알 수 없는 발신자가 보낸 이메일 첨부 파일과 링크에 주의하십시오. 운영 체제와 설치된 애플리케이션을 최신 상태로 유지하고, 각 계정마다 강력하고 고유한 암호를 사용하며, 가능한 경우 다단계 인증을 활성화하십시오. 신뢰할 수 있고 최신 보안 소프트웨어를 실행하고 정기적으로 시스템 검사를 수행하면 민감한 데이터가 유출되기 전에 Keylogger.MSIL.DiscordRAT.TT와 같은 위협을 탐지하고 제거하는 데 도움이 될 수 있습니다.

분석 보고서

일반 정보

성씨: Keylogger.MSIL.DiscordRAT.TT
서명 상태: No Signature

알려진 샘플

MD5: fccbe8c4d94a65b151a8a6e015dea6af
샤1: 0d25a4ff8e873fab3be2a46d9fc3617d965c6178
샤256: 19BEE783B8334FCB98C63F23A25990B270A4E094EF87D8A666D070EC9FB63003
파일 크기: 7.17 KB,7168 바이트

Windows 휴대용 실행 파일 속성

  • File doesn't have "Rich" header
  • File doesn't have exports table
  • File doesn't have security information
  • File is .NET application
  • File is 32-bit executable
  • File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
  • File is either console or GUI application
  • File is not packed
  • IMAGE_FILE_DLL is not set inside PE header (Executable)
  • IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Windows PE 버전 정보

이름 값
Assembly Version 0.0.0.0
File Description Update
File Version 0.0.0.0
Internal Name Update.exe
Legal Copyright Copyright © 2021
Original Filename Update.exe
Product Name Update
Product Version 0.0.0.0

파일 특성

  • .NET
  • x86

블록 정보

총 블록 수: 5
잠재적으로 악의적인 차단: 2
허용된 블록: 3
알 수 없는 블록: 0

시각적 지도

0 - 안전 블록 가능성 높음
? - 알 수 없는 블록
x - 잠재적으로 악의적인 차단

비슷한 가족

  • MSIL.DiscordRAT.TT

수정된 파일

파일 속성
c:\users\user\appdata\local\shadow\shadowlauncher.exe Generic Write,Read Attributes

레지스트리 수정

키::값 데이터 API 이름
HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::enablefiletracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableautofiletracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::enableconsoletracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::maxfilesize  RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasapi32::filedirectory %windir%\tracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasmancs::enablefiletracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableautofiletracing RegNtPreCreateKey
Show 5 more
HKLM\software\wow6432node\microsoft\tracing\rasmancs::enableconsoletracing RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasmancs::filetracingmask ￿ RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasmancs::consoletracingmask ￿ RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasmancs::maxfilesize  RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\rasmancs::filedirectory %windir%\tracing RegNtPreCreateKey

Windows API 사용법

범주 API
User Data Access
  • GetComputerName
  • GetUserDefaultLocaleName
  • GetUserObjectInformation
Anti Debug
  • NtQuerySystemInformation
Other Suspicious
  • AdjustTokenPrivileges
Network Winsock2
  • WSAConnect
  • WSASend
  • WSASocket
  • WSAStartup
Network Winsock
  • bind
  • closesocket
  • setsockopt
Network Winhttp
  • WinHttpOpen
Network Info Queried
  • GetAdaptersAddresses