SteelFox 맬웨어

SteelFox라는 새로운 위협적인 패키지가 발견되었습니다. Windows 시스템을 대상으로 암호화폐를 채굴하고 신용 카드 정보를 수집합니다. 이 맬웨어는 'Bring Your Own Vulnerable Driver'라는 기술을 사용하여 권한을 SYSTEM 수준으로 확대하여 보안 조치를 우회할 수 있습니다.

이 맬웨어는 주로 포럼과 토렌트 사이트를 통해 확산되며, Foxit PDF Editor, JetBrains, AutoCAD와 같은 합법적인 소프트웨어를 활성화하는 크랙 도구로 위장합니다. 취약한 드라이버를 사용하여 권한을 상승시키는 것은 국가가 지원하는 위협 행위자와 랜섬웨어 그룹과 일반적으로 연관되는 전술입니다. 하지만 지금은 정보 수집 맬웨어 캠페인에서도 채택되는 것으로 보입니다.

연구원들은 8월에 처음으로 SteelFox 작전을 확인했지만, 이 맬웨어는 2023년 2월부터 활동하고 있다고 지적했습니다. 토런트, 블로그, 포럼 게시물을 포함한 다양한 채널을 통해 최근 몇 달 동안 배포가 급증했습니다.

SteelFox 감염 및 권한 상승

보고서에 따르면 SteelFox 맬웨어 드로퍼를 홍보하는 게시물에는 종종 불법적으로 소프트웨어를 활성화하는 방법에 대한 자세한 지침이 포함되어 있습니다. 예를 들어, 그러한 게시물 중 하나는 JetBrains를 활성화하는 방법에 대한 단계별 지침을 제공합니다. 드로퍼는 소프트웨어를 활성화하는 광고된 기능을 수행하지만, 사용자는 실수로 그 과정에서 시스템에 맬웨어를 감염시킵니다.

대상 소프트웨어는 일반적으로 Program Files에 설치되므로 크랙을 추가하려면 관리자 수준의 액세스가 필요하며, 맬웨어는 공격 중에 이를 활용합니다. 연구자들은 설치 프로세스가 파일이 압축 해제되는 지점까지는 합법적인 것처럼 보인다고 지적합니다. 그 단계에서 안전하지 않은 기능이 도입되고, 그러면 SteelFox를 시스템에 로드하는 코드가 삭제됩니다.

취약한 드라이버 악용

SteelFox가 관리자 권한을 얻으면 CVE-2020-14979 및 CVE-2021-41285에 취약한 드라이버인 WinRing0.sys를 실행하는 서비스를 설치합니다. 이러한 취약성을 통해 맬웨어는 권한을 NT/SYSTEM 수준으로 상승시켜 시스템에 대한 최고 수준의 액세스 권한을 부여할 수 있습니다. 관리자 권한보다 더 강력합니다. 이 수준의 액세스를 통해 맬웨어는 모든 시스템 리소스나 프로세스를 자유롭게 조작할 수 있습니다.

권한 상승 외에도 WinRing0.sys 드라이버는 암호화폐 채굴에 사용됩니다. Monero를 채굴하는 XMRig 마이너의 일부입니다. 공격자는 하드코딩된 자격 증명으로 채굴 풀에 연결하도록 구성된 이 마이너의 수정된 버전을 배포합니다.

이 맬웨어는 또한 SSL 고정 및 TLS v1.3을 사용하여 C2(Command-and-Control) 서버와 보안 연결을 설정하여 통신이 암호화되고 가로채기로부터 보호되도록 합니다. 또한 13개의 웹 브라우저, 시스템 정보, 네트워크 세부 정보 및 모든 RDP(Remote Desktop Protocol) 연결에서 데이터를 수집하는 정보 도용 구성 요소를 활성화합니다. SteelFox는 신용 카드, 검색 기록 및 쿠키를 포함한 데이터를 수집할 수 있습니다.

SteelFox는 여러 국가의 피해자를 감염시킵니다

SteelFox가 사용하는 C2 도메인은 하드코딩되어 있지만 공격자는 IP 주소를 자주 변경하고 Google Public DNS와 DNS over HTTPS(DoH)를 통해 이를 해결하여 이를 숨깁니다. SteelFox 공격은 특정 개인을 대상으로 하지 않지만 주로 AutoCAD, JetBrains 및 Foxit PDF Editor 사용자에게 영향을 미치는 것으로 보입니다. 이 맬웨어는 브라질, 중국, 러시아, 멕시코, UAE, 이집트, 알제리, 베트남, 인도 및 스리랑카와 같은 국가의 시스템을 침해하는 것으로 관찰되었습니다.

SteelFox는 비교적 새로운 소프트웨어이지만 포괄적인 크라임웨어 패키지입니다. 맬웨어 분석에 따르면 개발자는 C++ 프로그래밍에 능숙하며 외부 라이브러리를 통합하여 매우 효과적인 맬웨어를 만들어냈습니다.