Posted By ASEC , 2021년 12월 29일

S/W 크랙으로 위장한채 유포되는 Redline Stealer

안랩 ASEC 분석팀은 기존의 블로그 포스팅을 통해 상용 소프트웨어의 Crack, Serial 등의 키워드로 검색되는 악성 사이트로부터 유포되는 악성코드에 대하여 언급하며 사용자의 주의를 당부하였다.

S/W 다운로드 위장, 다양한 종류의 악성코드 유포 – ASEC BLOG

ASEC 분석팀에서는 기존 다수의 블로그 포스팅을 통해 상용 소프트웨어의 Crack, Serial 등의 키워드로 검색되는 악성 사이트로부터 유포되는 CryptBot 악성코드에 대하여 언급하며 사용자의 주의를 당부하였다. 이러한 악성 사이트로부터 유포되는 악성코드는 CryptBot 악성코드가 대다수이지만, 간혹 타 악성코드가 유포되곤 한다. 본 블로그에서는 동일 유형의 악성코드 유포 중 CryptBot을 제외한 타 악성코드에 대하여 언급하고자 한다. 기존의 블로그에서도 언급했듯이 해당 악성코드는 검색엔진에 특정 상용 소프트웨어의 Cr…

최근 한 기업의 내부 망 침해 사고 조사에서 상용 소프트웨어의 Crack으로 위장한 Redline Stealer 악성코드에 감염되어 기업의 VPN 사이트와 계정 정보가 유출된 사실을 확인했다.

피해 기업에서는 재택 근무 중에 사내 망에 접근할 수 있도록 VPN 서비스를 제공하고 있었으며, 해당 기업의 직원들은 지급된 노트북 또는 개인 PC로 VPN 연결 후 업무를 수행했다. 피해 직원은 웹 브라우저에서 제공하는 비밀번호 관리 기능을 이용해 VPN 사이트에 대한 계정/패스워드를 웹 브라우저에 저장하고 사용했다. 그러던 중 계정 정보를 노리는 악성코드에 감염돼 다수의 사이트 계정과 패스워드가 유출됐으며, 이 중에는 기업의 VPN 계정도 포함돼 있었다.

웹 브라우저 자동 로그인 기능에 저장된 계정을 노리는 RedLine Stealer – ASEC BLOG

안랩 ASEC 분석팀은 최근 한 기업의 내부 망 침해 사고 조사에서 기업 망 접근에 사용된 VPN 계정이 재택 근무 중인 한 직원의 개인 PC에서 유출된 것임을 확인했다. 피해가 발생한 기업에서는 재택 근무 중에 사내 망에 접근할 수 있도록 VPN 서비스를 제공하고 있었으며, 해당 기업의 직원들은 지급된 노트북 또는 개인 PC로 VPN 연결 후 업무를 수행했다. 피해 직원은 웹 브라우저에서 제공하는 비밀번호 관리 기능을 이용해 VPN 사이트에 대한 계정/패스워드를 웹 브라우저에 저장하고 사용했다. 그러던 중 계정 정보를 노리는 악성…

계정 정보가 유출된 시스템은 직원의 개인 PC로 업무용 외에 가족 구성원과 함께 사용하는 PC이다. 악성 파일 감염은 가족 구성원이 음정 보정 프로그램인 Waves 사의 SoundShifter 소프트웨어의 free, crack 키워드를 검색하여 악성 파일이 포함된 waves_60e87ffe7200b.zip 압축 파일을 다운로드 받았으며, 압축 파일 내부의 악성 파일을 실행하여 침해됐다.

웹 브라우저 이용 기록에서 waves soundshifter free, waves soundshifter crack 키워드를 검색한 이력을 확인했다.

동일한 키워드를 구글에 검색할 경우 다양한 경로의 다운로드 사이트들이 검색 결과로 보여진다.

[그림3] Google의 waves soundshifter crack 검색결과

사용자는 구글의 검색 결과에 노출된 여러 페이지를 방문한 것으로 보인다.

이후 파일 다운로드 흔적이 발견됐다. 해당 경로를 방문한 과정은 확인되지 않아 검색 결과에 노출된 악성 페이지에 직접 접근한 것으로 추정되나 현재 검색 결과에서는 확인되지 않는다.

다운로드된 파일은 압축파일로 내부에 암호화된 압축 파일과 암호 압축 파일의 패스워드가 적힌 TXT파일이 포함돼 있다. 이러한 방식은 파일 다운로드 시 보안 제품에 탐지 되는 것을 우회하기 위해 공격자들이 사용하는 방식이다.

[그림6] 다운로드 받은(waves_60e87ffe7200b.zip) 압축 파일 내부 구조

사용자는 프로그램을 설치할 목적으로 파일을 다운로드한 것이므로, TXT 파일의 설명에 따라 암호화된 압축 파일을 해제하고, 설치 파일로 위장된 악성 파일을 실행했을 것이다. 압축이 해제된 설치 파일은 다수의 악성 파일이 내장된 형태로, 설치 시 Danabot, Redline Stealer, Vidar 계열의 악성 파일이 시스템에 생성된다. 시스템에서 발견된 악성 파일과 파일 경로, 파일명 등 관련 아티팩트를 분석한 결과 비슷한 시기에 유포된 유사한 사례들을 확인할 수 있었다.

유사한 사례들 또한 상용 소프트웨어의 크랙, 키젠 등 불법 프로그램의 설치 파일로 위장해 파일 공유 사이트에 업로드 되어 유포됐다. 확인된 유사 악성 파일 중 2021년 6월 Keygen 공유 사이트(topkeygen.com)에서 유포된 악성 파일의 분석 내용과 개인 PC에 생성된 악성 파일의 폴더 경로, 폴더명, 악성 파일의 명명 규칙, 파일 생성 순서 등 다수의 행위가 일치했다.

이 중 파일 생성 위치에 대한 유사점은 다음 그림과 같다.

[그림7] 침해된 개인 PC와 topkeygen 사이트에서 유포된 악성 파일의 파일 생성 위치에 대한 유사점

악성 파일이 실행된 이후 침해된 개인 PC에서 cio.exe.com, orrore.exe.com, certe.exe.com 등 의심스러운 파일의 실행 흔적이 발견됐으나 해당 파일들은 실행 후 삭제되어 파일을 확보할 수는 없었다. 하지만 시스템에서 확인된 흔적들이 RedLine Stealer 계열의 악성 파일 감염 시스템에서 나타나는 것과 유사한 점으로 보아 해당 파일들은 RedLine Stealer 계열의 악성 파일로 판단된다.

시스템에서 확인된 Redline Stealer 악성 파일 감염 의심 흔적