VENON 뱅킹 멀웨어
사이버 보안 연구원들이 브라질 사용자들을 겨냥한 새로운 은행 악성코드 캠페인을 발견했습니다. VENON이라는 이름의 이 악성코드는 기존에 사용되던 델파이(Delphi) 언어가 아닌 러스트(Rust) 언어로 작성되었다는 점에서 지역 사이버 범죄 생태계에 주목할 만한 변화를 가져왔습니다.
이러한 개발 방식의 변화는 과거 델파이 기반 프레임워크에 의존해왔던 라틴 아메리카 은행 악성코드에 있어 중요한 진화를 의미합니다. VENON은 특히 윈도우 환경을 표적으로 삼으며, 2026년 2월에 처음 발견되었습니다.
목차
기존 은행 트로이목마와의 행동적 유사점
VENON은 최신 구현 언어를 사용함에도 불구하고 Grandoreiro, Mekotio, Coyote와 같은 잘 알려진 라틴 아메리카 뱅킹 트로이목마와 유사한 작동 방식을 보입니다.
해당 악성 소프트웨어는 이러한 위협과 일반적으로 연관된 여러 기능을 통합하고 있습니다.
- 합법적인 금융 인터페이스를 가장하도록 설계된 뱅킹 오버레이 로직
- 표적 은행 애플리케이션 또는 웹사이트를 탐지하기 위한 활성 창 모니터링
- 피해자를 악성 인프라로 리디렉션하는 바로가기(LNK) 하이재킹 메커니즘
이러한 유사점은 VENON이 해당 지역의 기존 은행 악성코드 공격 캠페인에서 사용되는 운영 패턴에 대한 상세한 지식을 바탕으로 설계되었음을 시사합니다.
생성형 인공지능의 개발 단서 및 활용 가능성
이 캠페인은 아직 공식적으로 알려진 위협 행위자 또는 사이버 범죄 집단과 연관되지 않았습니다. 그러나 2026년 1월에 생성된 초기 빌드에 대한 포렌식 분석 결과, 바이너리에 개발자 환경의 흔적이 포함되어 있는 것이 발견되었습니다. 파일 경로에서 'byst4'라는 이름의 Windows 사용자 프로필(예: C:\Users\byst4...)이 반복적으로 언급되는 것을 통해 위협 행위자의 개발 환경에 대한 정보를 얻을 수 있을 것으로 예상됩니다.
코드 분석 결과, 해당 구조는 개발자들이 이미 중남미 은행 악성코드 기법에 익숙할 가능성이 높다는 것을 시사합니다. 동시에, 코드베이스는 생성형 AI 도구를 활용하여 기존 기능을 Rust 언어로 재구성하거나 확장할 수 있는 가능성을 보여줍니다. Rust로 이러한 기능을 구현하려면 상당한 기술적 전문성이 요구되므로, 이 프로젝트의 난이도가 매우 높다는 것을 알 수 있습니다.
다단계 감염 사슬 및 회피 전술
VENON은 치밀하게 구성된 감염 경로를 통해 유포되며, 최종적으로 DLL 사이드 로딩을 통해 악성 동적 링크 라이브러리를 실행합니다. 이 공격은 ClickFix 기법과 유사한 사회공학적 전략을 사용하여 피해자가 악성 페이로드가 포함된 ZIP 압축 파일을 다운로드하도록 유도하는 것으로 추정됩니다.
실행은 악성 구성 요소를 검색하고 실행하는 PowerShell 스크립트로 시작됩니다. 악성 활동을 시작하기 전에 DLL은 광범위한 방어 회피 조치를 수행합니다.
- 샌드박스 방지 검사
- 보안 모니터링을 우회하기 위한 간접 시스템 호출
- ETW(윈도우 이벤트 추적) 우회 기술
- AMSI(Antimalware Scan Interface) 우회 메커니즘
- 추가적인 분석 방지 루틴을 통해 총 9가지 회피 전략을 구현했습니다.
이러한 검사를 통과한 후, 악성 프로그램은 Google Cloud 인프라에 저장된 클라우드 호스팅 리소스에서 구성 데이터를 가져옵니다. 그런 다음 지속성을 위해 예약된 작업을 설치하고 명령 및 제어 서버와 WebSocket 연결을 설정합니다.
Itaú 뱅킹 소프트웨어를 대상으로 한 바로가기 탈취 공격
해당 악성 DLL에는 Visual Basic Script로 작성된 두 개의 스크립트가 내장되어 있습니다. 이 스크립트들은 Itaú Unibanco 데스크톱 애플리케이션을 대상으로 하는 바로가기 키 탈취 공격을 실행합니다.
이 공격 방식은 정상적인 시스템 바로가기를 조작된 바로가기로 대체하여 피해자를 공격자가 제어하는 웹 페이지로 리디렉션하고 민감한 금융 정보를 탈취합니다. 이러한 표적 공격은 브라질 내 고가치 은행 플랫폼을 집중적으로 노리고 있음을 시사합니다.
흥미롭게도, 해당 악성코드에는 원래 바로가기를 복원할 수 있는 제거 기능이 포함되어 있습니다. 이 기능은 원격 운영자 제어를 의미하며, 공격자가 작업이 완료되면 침해 증거를 제거할 수 있도록 합니다.
광범위한 금융 정보 수집 및 자격 증명 도용 전략
VENON은 활성 창 제목과 브라우저 도메인을 모두 모니터링하도록 설계되어 사용자가 금융 서비스에 접속하는 시점을 감지할 수 있습니다. 이 악성 프로그램은 33개 금융 기관 및 디지털 자산 플랫폼과 관련된 활동을 인식하도록 구성되어 있습니다.
악성 프로그램은 특정 애플리케이션이나 웹사이트를 탐지한 후, 합법적인 로그인 인터페이스를 모방한 가짜 오버레이 화면을 표시합니다. 이러한 오버레이 화면을 이용하는 피해자는 자신도 모르게 계정 정보를 공격자에게 직접 전송하게 되어 계정 탈취 및 금전적 피해를 입게 됩니다.
