ZynorRAT 맬웨어
사이버 보안 연구원들이 Go 언어로 컴파일된 원격 접속 트로이 목마(RAT)인 ZynorRAT으로 구성된 새로운 악성코드군을 발견했습니다. 이 악성코드는 리눅스와 윈도우 호스트 모두를 표적으로 하며, 텔레그램 봇을 통해 관리됩니다. 입수 가능한 증거에 따르면 2025년 7월 8일에 처음 발견되었습니다. 분석가들은 이전에 분류된 악성코드군과 코드나 동작 방식이 겹치지 않는다고 보고하며, 이는 기존 툴셋의 변형이 아닌 새로운 구현 방식을 시사합니다.
기술 프로필 - 언어, 빌드 및 크로스 플랫폼 참고 사항
ZynorRAT은 Go 언어로 구현되어 단일 코드베이스로 여러 OS 대상 바이너리를 생성할 수 있습니다. Linux 빌드는 기능이 풍부하며 정찰, 데이터 수집 및 원격 제어를 위한 광범위한 기능을 제공합니다. Windows 빌드도 확인되었으며 Linux 버전과 기능적으로 유사해 보입니다. 하지만 여전히 Linux 스타일의 지속성 기술(systemd 서비스)을 사용하므로 Windows 아티팩트가 아직 완성되지 않았거나 개발 중일 가능성이 있습니다.
기능 - 맬웨어가 할 수 있는 일
이 악성코드의 주요 임무는 수집, 유출, 그리고 원격 접근이며, 명령 및 제어(C2)는 텔레그램 봇(@lraterrorsbot, 일명 'lrat')을 통해 처리됩니다. ZynorRAT은 배포되면 해당 봇으로부터 추가 명령을 받아 피해자 호스트에서 로컬로 작업을 수행합니다. 주요 Linux 기능으로는 파일 탐색 및 유출, 시스템 프로파일링, 프로세스 목록 작성 및 종료, 스크린샷 캡처, 임의 명령 실행, 그리고 systemd를 통한 지속성 유지 등이 있습니다.
관찰된 명령 엔드포인트(Linux 빌드에 구현된 대로):
- /fs_list — 디렉토리 열거
- /fs_get — 호스트에서 파일을 추출합니다.
- /metrics — 시스템 프로파일링 수행
- /proc_list — ps와 동일한 명령을 실행하여 프로세스를 나열합니다.
- /proc_kill — PID로 프로세스를 종료합니다.
- /capture_display — 디스플레이의 스크린샷을 찍습니다.
- /persist — 지속성 설정(systemd 서비스)
명령 및 제어 및 배포 - 운영자가 이를 실행하고 확산하는 방법
텔레그램은 ZynorRAT의 C2 채널입니다. 이 악성코드는 @lraterrorsbot 봇에 접속하여 해당 매체를 통해 명령을 수신합니다. 텔레그램 봇을 통해 공유된 스크린샷 및 기타 아티팩트는 Dosya.co라는 파일 공유 서비스를 통해 페이로드가 배포되는 것을 보여줍니다. 이러한 스크린샷 분석 결과, 제작자는 자신이 제어하는 기기를 사용하여 기능을 테스트하거나 검증(자가 감염)했을 가능성이 있습니다. 텔레그램과 같은 공개 메시징 플랫폼을 C2 채널로 사용하면 운영자의 사용 편의성과 어느 정도의 운영 유연성을 확보할 수 있지만, 방어자가 추적할 수 있는 명확한 지표(봇 핸들, 비정상적인 텔레그램 트래픽)도 생성됩니다.
귀속 및 타임라인 - 우리가 합리적으로 추론할 수 있는 것
증거는 2025년 7월 8일부터 활동이 시작되었음을 시사합니다. 봇 채팅과 기타 복구된 텍스트에 나타난 언어적 아티팩트는 해당 운영자가 터키인이거나 최소한 터키어 리소스를 사용했을 가능성을 시사하며, 현재 분석 결과는 집단적인 개발보다는 단독으로 활동했을 가능성이 높습니다. 하지만 추가적인 증거가 확보될 때까지 특정 개인이나 국가에 대한 공격 가능성은 신중하게 검토해야 합니다.
이것이 중요한 이유 - 참신성과 맬웨어 개발 동향
RAT는 흔하지만, ZynorRAT는 텔레그램을 통해 자동화되고 중앙 집중화된 제어를 구현하는 클린룸 구현(기존 제품군과 중복 없음)으로 보이기 때문에 주목할 만합니다. 크로스 플랫폼 지원에 대한 야심과 Go 언어 사용은 비교적 소규모 사업자들이 유능한 다중 OS 툴을 빠르게 개발하는 추세를 보여줍니다. 이러한 초기 단계의 정교함은 새로운 RAT가 얼마나 빠르게 등장하고 현장에 적용될 수 있는지를 보여줍니다.
결론 평가
ZynorRAT은 크로스 플랫폼 배포를 위해 구축되고 기성 메시징 서비스를 통해 관리되는 가볍지만 강력한 RAT의 현대적인 사례입니다. 이 발견은 단일 운영자도 Go와 같은 최신 언어를 사용하여 유연한 원격 액세스 도구를 신속하게 개발할 수 있음을 보여줍니다. 조직은 Telegram 기반 C2 및 소비자 파일 공유 서비스의 예상치 못한 사용을 최우선 순위로 처리하고, 엔드포인트에서 서비스 생성을 강화하며, 위에 나열된 완화 조치를 적용하여 노출을 줄여야 합니다.
