러시아에서 유래한 악성코드인 Collector-stealer는 최종 사용자 시스템에서 민감한 데이터를 유출해 C&C 패널에 저장하는 데 인터넷상에서 널리 사용되고 있습니다. 업계가 이러한 위협에 대비할 수 있도록 F5 CTO실 산하 Advanced Threat Research Center of Excellence의 Aditya K Sood와 Rohit Chaturvedi가 Collector-stealer 악성코드의 바이너리 분석, 작동 방식 및 관련 C&C 패널 설계를 아우르는 360도 분석을 통해 숨겨진 아티팩트를 밝혀냅니다.
Collector-stealer는 비교적 짧은 기간에 상당히 광범위하게 확산되었습니다. 이 악성코드로 탈취된 정보는 일반적으로 악의적인 목적으로 사용되도록 암시장에서 유통됩니다. 공격자들은 Collector-stealer를 이용해 주로 유럽 국가를 표적으로 삼지만, 미국, 중국, 캄보디아 등 다른 국가의 사용자들도 피해를 입고 있습니다.
이번 분석을 통해 밝혀진 Collector-stealer의 주요 특징과 흥미로운 특성은 다음과 같습니다:
- Collector-stealer는 다음을 비롯한 여러 가지 방법으로 감염을 시작합니다:
- 사용자가 무료 게임 다운로드를 제공하는 피싱 포털을 방문하도록 유도
- Windows 정품 인증/크랙 소프트웨어 패키지
- 가짜 채굴기 웹 포털(암호화폐 소프트웨어 제공업체의 포털과 유사한 콘텐츠를 모방하여 드라이브 바이 다운로드 공격을 유발하는 웹 포털)
- Collector 스틸러는 C++로 작성되었으며, 저장된 비밀번호, 웹 데이터, 쿠키, 스크린샷 등의 중요 데이터를 훔치기 위해 사용자 컴퓨터를 감염시킵니다. 악성코드 제작자는 연구자들의 분석을 방해하고 코드를 더 복잡하게 만들기 위해 코드에 난독화 기법을 사용했습니다.
- Collector-stealer는 C&C 서버로 데이터를 전송하기 전에 Cloudflare DNS 리졸버의 IP 주소인 1.1.1.1에 ping을 보내 피해자 컴퓨터의 인터넷 연결 상태를 확인합니다. ping 요청이 실패하면 피해자 컴퓨터에서 수집한 데이터와 실행 파일을 삭제한 후 조용히 종료합니다. 그렇지 않으면 수집한 데이터를 C&C 서버로 전송합니다.
- Collector-stealer는 수집한 데이터를 전송하기 위해 HTTP 프로토콜과 POST 메서드를 사용합니다. 데이터를 전송하기 전에 악성코드는 데이터를 .zip 압축 파일로 압축한 후 C&C 서버로 전송합니다.
Collector-stealer는 다양한 악성코드 기능을 갖춘 덕분에 언더그라운드 포럼에서 인기를 얻었습니다. 많은 사용자가 이 악성코드 구매에 관심을 보였으며, 일부 그룹은 크랙 버전을 제공하려고 시도하기도 했습니다. 러시아 그룹 "Hack_Jopi"는 2018년 10월부터 포럼에서 Collector-stealer를 판매해 왔습니다.
이 악성코드에 대한 상세한 분석을 담은 전체 연구 결과가 Virus Bulletin에 게재되었습니다. 위 내용과 기타 연구 결과를 자세히 다룬 연구 논문은 다음 링크에서 확인할 수 있습니다.
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/
즐겁게 읽어보세요!
작성자 소개
관련 블로그 게시물
AI 시대의 새로운 애플리케이션 제공 원칙으로 복잡성 극복하기
보안, 일관성, 완전 자동화에 중점을 둔 애플리케이션 제공의 새로운 6가지 원칙을 도입하여 복잡성 없이 하이브리드 멀티클라우드의 유연성을 누리세요.
디지털 혁신을 가속화하는 6가지 기술 역량
오늘날의 엔터프라이즈 아키텍처에는 기술 변화를 주도하는 데 핵심적인 민첩성, 확장성, 보안 및 관찰 가능성이 부족하지만, 이 여섯 가지 핵심 역량은 기업이 디지털 혁신 전반에 걸쳐 위험과 과제를 관리하는 데 도움이 될 것입니다.
하이브리드 근무가 ID 중심 보안으로의 전환을 이끌고 있습니다
자동화와 디지털화의 폭발적인 성장에 하이브리드 근무 모델로의 전환 추세가 더해지면서, IP 기반 보안에서 벗어나 ID 기반 액세스 전략으로 전환하는 움직임이 더욱 가속화될 것입니다.
관점의 현대화: 애플리케이션에서 경험으로
그리스와 로마의 신들처럼, 여러 신화에서도 동일한 존재가 다양한 모습으로 나타나는 것을 볼 수 있습니다. 본질적으로 각각의 화신은 기존 존재가 새로운 얼굴로 드러난 것입니다. 디지털 세계에서도 이와 비슷한 양상이 나타납니다. 우리가 ‘애플리케이션’이라고 부르는 것들은 흔히 기존 기능이 새로운 형태로 구현된 것이라 볼 수 있습니다.
코로나19 이후 기업 결제의 디지털 전환
디지털 결제는 과거의 현금만큼이나 보편화되었습니다. 코로나19 팬데믹으로 인한 봉쇄 조치는 소비자의 디지털 결제 서비스 의존도를 더욱 빠르게 높였습니다. 기업의 디지털 결제 도입 역시 가속화되었습니다. 대중을 상대로 영업하든 하지 않든 기업에는 여전히 지급해야 할 대금과 받아야 할 대금이 있기 때문입니다.
공급망 해킹과 보안에서 하드웨어의 역할
수석 아키텍트 Dave Schmitt와 CTO 오피스가 최근 Bloomberg의 Super Micro 관련 기사를 계기로 하드웨어 보안 전문성의 중요성을 되짚어봅니다. 또한 이 글에서는 시스템이 안전하게 보호되고 있는지 확인하기 위해 공급업체에 물어봐야 할 질문도 소개합니다.