RTX RAT

CPUID와 관련된 보안 사고로 인해 공식 웹사이트인 cpuid.com을 통해 사용자들이 악성 소프트웨어에 노출되었습니다. 24시간도 채 안 되는 기간 동안, 공격자들은 다운로드 링크를 조작하여 널리 사용되는 하드웨어 모니터링 도구의 감염 버전을 배포하는 데 성공했습니다.

이번 침해는 4월 9일 15:00 UTC부터 4월 10일 10:00 UTC 사이에 발생했으며, 이 기간 동안 정상적인 설치 링크가 악성 리디렉션 링크로 간헐적으로 대체되었습니다. 중요한 점은 CPUID가 원래 서명된 바이너리 파일은 손상되지 않았다고 확인했다는 것입니다. 이번 침해는 핵심 소프트웨어 자체를 변경한 것이 아니라, 웹사이트가 악성 링크를 무작위로 표시하도록 하는 부가적인 기능, 즉 사이드 API에서 비롯되었습니다.

악성 인프라: 공격 배후의 불량 도메인

사이버 보안 연구원들의 조사 결과, 트로이목마 악성코드를 호스팅하고 배포하는 데 사용된 여러 도메인이 확인되었습니다. 이러한 악성 웹사이트들은 의심하지 않는 사용자들을 감염된 다운로드 페이지로 리디렉션하는 데 핵심적인 역할을 했습니다.

• cahayailmukreatif.web[.]id
• pub-45c2577dbd174292a02137c18e7b1b5a.r2[.]dev
• 트랜지셔널오팔레르모[.]com
• 바트로브란[.]시간

이러한 도메인들은 악성코드 배포 및 명령 제어 작전을 지원하도록 설계된 더 광범위한 인프라의 일부를 구성했습니다.

은밀한 전달 메커니즘: DLL 측면 로딩 악용

공격자들은 DLL 사이드 로딩이라는 잘 알려진 회피 기법을 사용했습니다. 악성 패키지는 ZIP 압축 파일과 독립 실행형 설치 프로그램 형태로 배포되었으며, 각각에는 두 가지 구성 요소가 포함되어 있었습니다. 하나는 정상적으로 서명된 실행 파일이고, 다른 하나는 'CRYPTBASE.dll'이라는 이름의 악성 동적 링크 라이브러리였습니다.

서명된 바이너리에 대한 신뢰를 악용하여 악성 DLL이 실행 중에 로드되어 은밀한 침해를 가능하게 했습니다. 악성코드는 추가 작업을 시작하기 전에 분석 환경에서 탐지를 피하기 위해 샌드박스 검사를 수행했습니다. 이 검사를 통과하면 외부 서버에 접속하여 추가 페이로드를 가져왔습니다.

STX RAT 배포: 다재다능한 사후 공격 도구

이 캠페인의 궁극적인 목표는 숨겨진 가상 네트워크 컴퓨팅(HVNC) 기능과 광범위한 데이터 탈취 기능을 갖춘 강력한 원격 접속 트로이목마인 STX RAT를 배포하는 것이었습니다.

이 악성 소프트웨어는 공격자가 감염된 시스템에 대한 지속적인 제어권을 유지하고 다음과 같은 다양한 사후 공격 활동을 실행할 수 있도록 합니다.

• EXE, DLL, PowerShell 스크립트 및 셸코드의 메모리 내 실행
• 리버스 프록싱 및 네트워크 터널링
• 원격 데스크톱 상호 작용 및 감시

이러한 기능 때문에 STX RAT는 개인 환경과 기업 환경 모두에서 특히 위험합니다.

캠페인 중복: 이전 FileZilla 공격과의 연관성

분석 결과, 이번 사건에 사용된 명령 및 제어(C2) 인프라가 이전에 FileZilla 트로이목마 설치 프로그램을 이용한 별도의 공격 캠페인과 연관되어 있었던 것으로 밝혀졌습니다. 동일한 서버 구성과 통신 도메인의 재사용은 두 캠페인 간의 작전상 중복이 심각함을 시사합니다.

이러한 전술, 기법 및 기반 시설의 반복은 탐지 및 원인 규명에 귀중한 지표를 제공했습니다.

장기 운영: 10개월 캠페인 일정

추가 조사 결과, CPUID 침해는 2025년 7월에 시작된 더 광범위한 공격 캠페인의 일부인 것으로 나타났습니다. 가장 초기에 발견된 악성코드 샘플인 'superbad.exe'는 95.216.51.236 IP 주소의 명령 및 제어 서버와 통신하는 것이 확인되었습니다.

보안 전문가들은 해당 위협 행위자가 러시아어를 사용하는 인물일 가능성이 높으며, 금전적 동기가 있거나 시스템 침투 후 다른 사이버 범죄자들에게 접근 권한을 판매하는 '초기 접근 브로커' 역할을 할 가능성이 있다고 평가합니다.

영향 평가: 다양한 피해자를 포함한 전 세계적 영향

이번 공격으로 150명 이상의 피해자가 발생했으며, 대부분 개인 사용자입니다. 하지만 소매, 제조, 컨설팅, 통신, 농업 등 다양한 산업 분야의 조직들도 피해를 입었습니다.

지리적으로 볼 때, 감염 사례의 대부분은 브라질, 러시아, 중국에서 확인되었으며, 이는 광범위하고 기회주의적인 표적 공격 전략을 시사합니다.

운영상의 약점: 적발로 이어진 오류

캠페인의 규모에도 불구하고, 여러 운영 보안 실패로 인해 공격자들의 효과가 크게 저해되었습니다. 이전 캠페인에서 사용했던 동일한 감염 경로, STX RAT 페이로드, 명령 및 제어 도메인을 재사용함으로써 활동을 추적하고 상관관계를 파악하기가 더 쉬워졌습니다.

이러한 단점들은 악성코드 개발 및 배포 방식의 정교함이 상대적으로 부족함을 시사합니다. 결과적으로, 방어자들은 워터링 홀 공격이 시작된 직후 신속하게 탐지할 수 있었고, 이는 전체적인 피해와 공격 노출 기간을 제한하는 데 도움이 되었습니다.