오버로드 RAT

Overlord는 Go 프로그래밍 언어로 개발된 원격 접속 트로이목마(RAT)로, Windows 및 macOS 환경을 모두 공격 대상으로 합니다. 최초 탐지 사례는 한국에서 보고되어 실제 공격에 사용될 가능성에 대한 우려를 불러일으켰습니다. macOS 시스템에서 이 악성코드는 공격자가 제어하는 인프라와 지속적인 통신을 구축하고, 사용자 입력을 가로채며, 브라우저 조작을 시도할 수 있습니다. 추가적인 피해를 방지하기 위해 탐지 즉시 제거하는 것이 강력히 권장됩니다.

기술 구성 및 지속적인 개발

이 악성코드는 Go 1.25.6을 사용하여 macOS Apple Silicon(arm64) 바이너리로 컴파일되었습니다. 소스 코드는 오픈 소스 라이선스 하에 GitHub에서 공개적으로 접근할 수 있으며, 수백 건의 커밋과 지속적인 활발한 개발이 이루어지고 있습니다. 이러한 투명성과 지속적인 기여는 Overlord의 기능, 특히 macOS 환경에서의 기능이 가까운 미래에 크게 확장되어 위협 수준이 높아질 가능성을 시사합니다.

지속성 및 명령-통제 작전

Overlord는 macOS 기기에 설치되면 명령 및 제어(C2) 서버에 연결하여 운영자의 추가 지시를 기다립니다. 시스템 재부팅 후에도 실행이 지속되도록 하는 지속성 메커니즘이 구현되어 있습니다. 또한, 이 악성 프로그램은 키보드 입력과 마우스 활동을 캡처하여 내부 채널을 통해 전송함으로써 공격자에게 사용자 행동에 대한 실시간 정보를 제공합니다.

원격 제어 기능 및 명령어 세트

Overlord는 감염된 시스템을 원격으로 관리할 수 있도록 구조화된 명령어 세트를 포함하고 있습니다. 이러한 명령어는 감시, 시스템 상호 작용 및 브라우저 조작을 용이하게 하도록 설계되었습니다.

• hvnc_start 명령어는 숨겨진 데스크톱 세션을 시작하고 이를 공격자에게 스트리밍합니다.
• hvnc_start_chrome_injected 및 hvnc_start_browser_injected 명령은 악성 수정 사항이 삽입된 상태로 Chrome과 같은 브라우저를 다시 시작하려고 시도합니다.
• hvnc_lookup 명령어는 감염된 시스템에서 실행 파일 경로를 확인합니다.

이러한 기능은 윈도우에서 더욱 성숙되어 있지만, 고급 원격 제어 기능을 위한 기본 틀을 보여줍니다.

플랫폼의 한계 및 기능적 격차

코드베이스에 포함된 일부 고급 기능은 macOS에서 아직 완전히 작동하지 않습니다. 숨겨진 가상 데스크톱 기능과 DLL 삽입 메커니즘은 현재 실행 시 플랫폼 지원 부족을 나타내는 메시지를 반환하는 자리 표시자일 뿐입니다. 마찬가지로, 숨겨진 세션에 프로세스를 삽입하고 페이로드를 추출하는 기능은 현재 Windows 환경에서만 사용 가능합니다. 이러한 제한 사항에도 불구하고 핵심 감시 및 지속성 기능은 두 플랫폼 모두에서 완벽하게 작동합니다.

보안 위험 및 영향 평가

현재 상태에서도 Overlord는 상당한 사이버 보안 위험을 내포하고 있습니다. 지속적인 접근 권한과 입력값 캡처 기능을 통해 공격자는 사용자 활동을 광범위하게 모니터링할 수 있습니다. 이는 자격 증명 도용, 무단 계정 접근, 장기 감시 등의 위험으로 이어집니다. macOS에서는 효과가 다소 떨어지지만, 브라우저 관련 조작 기능 또한 추가적인 위험 요소를 제공합니다.

감염 매개체 및 확산 방법

오버로드의 정확한 유통 전략은 아직 확인되지 않았습니다. 그러나 RAT와 관련된 일반적인 감염 경로를 고려할 때, 기만적이고 기회주의적인 전달 방식이 사용되었을 가능성이 매우 높습니다.

피싱 이메일과 소셜 엔지니어링 캠페인은 사용자를 속여 악성 파일을 실행하게 만듭니다.
신뢰할 수 없는 제3자 출처에서 제공하는 불법 복제 소프트웨어, 크랙 또는 가짜 설치 프로그램과 함께 번들로 제공되는 경우
드라이브 바이 다운로드, 메시징 플랫폼의 악성 링크, 그리고 P2P 파일 공유 네트워크

보다 고도화된 시나리오에서는 RAT(원격 접근 트로이 목마)가 초기 접근이 확보된 후 로컬 네트워크를 통해 측면으로 전파되거나 이동식 저장 장치를 통해 확산될 수 있습니다.

최종 평가 및 방어적 고려 사항

Overlord는 macOS 악성코드 환경에서 점점 더 큰 위협으로 떠오르고 있습니다. 일부 기능이 아직 미완성되었지만, 지속적인 시스템 접속과 사용자 입력 캡처 능력만으로도 심각한 보안 침해를 초래할 수 있습니다. 지속적인 개발로 인해 더욱 정교한 기능들이 곧 추가될 가능성도 있습니다. 피해를 최소화하고 무단 접근을 방지하기 위해서는 신속한 탐지 및 제거가 매우 중요합니다.