피싱 메일을 통해 유포 중인 Vidar 인포스틸러
1. 개요
2018년 최초로 확인된 Vidar는 서비스형 악성코드(MaaS : Malware-as-a-service) 모델로 운영되면서 최근까지도 지속적으로 다양한 공격 사례들을 통해 유포되고 있다. AhnLab SEcurity intelligence Center(ASEC)은 국내 대상 Vidar 유포 사례를 모니터링하고 있으며 여기에서는 2026년 상반기에 확인된 Vidar 유포 사례들을 정리한다.
2. 피싱 메일
2026년 상반기에 확인된 Vidar 유포 피싱 메일 공격들은 모두 동일한 공격자의 소행으로 추정된다. Go 언어로 제작된 외형으로 패킹하였다는 점이나 유포에 사용된 키워드, 동일한 C&C 서버 주소를 사용하는 유형들 등을 보면 특정 공격자가 며칠 간격으로 Vidar를 제작해 지속적으로 유포 중인 것으로 보인다.
공격자는 “입사지원서”, “저작권 위반” 키워드를 주로 사용하고 있으며 파일명 기준 날짜를 제외하면 몇 주 동안 동일한 이름을 사용해 유포하고 있다.
- 입사지원서_성실한근무태도로임하겠습니다_26년06월04일.exe
- 260511저작권 관련 조항및 침해내용 정리리스트 (이미지, 아이콘, UI 등등).exe
- 긍정적이며_책임감있는_지원자_26년04월21일 이력서.exe
- 이력서_260219_모든일에 성실하고 한결같은 자세로 임하는 지원자가 되겠습니다.exe
- 260113 저작권 관련 조항및 침해내용 정리리스트 (이미지, 아이콘, UI 등등) ..exe
다음은 공격에 사용된 피싱 메일들이며 첨부 파일 이름과 동일하게 본문의 내용에도 이력서를 위장하고 있다.
Figure 1. Vidar 유포에 사용된 악성코드 유포 메일 본문
3. Vidar 분석
3.1. 패커
Vidar는 워드 문서 파일을 위장한 아이콘을 가지고 있으며 Go 언어로 제작된 패커 외형으로 유포된다. 패커는 실행 시 내부에 존재하는 실제 Vidar를 복호화 한 후 메모리에서 실행한다.
Figure 2. Go 외형의 패커
3.2. 초기 통신
Vidar는 지속적으로 업데이트되고 있으며 C/C++로 제작된다. 최근 유포되고 있는 유형은 분석을 방해하기 위한 목적으로 코드와 데이터를 난독화하한 것이 특징이다. 이외에도 NtGlobalFlag 검사와 같은 Anti Debugging 기법과 CPU, RAM, 디스크 크기 등을 검사하는 Anti VM 기법 그리고 사용자 이름이나 컴퓨터 이름을 검사하는 Anti Sandbox 기능이 존재한다.
Vidar는 C&C 서버와의 통신 시 Dead Drop Resolver(DDR) 기법을 사용한다. 공격자는 C&C 서버 주소를 Telegram 및 Steam의 프로필 페이지에 적어놓으며 이후 Vidar가 해당 프로필 페이지에 접속해 실제 C&C 서버 주소를 구하는 방식이다. 2026년 6월 공격 사레에서 확인된 Vidar는 다음과 같이 Telegram과 Steam 프로필 페이지에 각각의 C&C 서버 주소를 지정하였으며 Telegram 프로필에 먼저 접속한 후 C&C 서버 주소가 확인되지 않을 경우 Steam 프로필 페이지에서 C&C 서버 주소를 구한다. 참고로 “ar3k0″은 Vidar가 가지고 있는 마커로서 해당 키워드부터 구분자 사이의 주소를 C&C 서버 주소로 인지한다.
Figure 3. DDR 기법에 사용된 Telegram, Steam 프로필 페이지
마커 문자열 “ar3k0″와 Telegram / Steam 프로필 페이지 주소 그리고 버전 정보 “1.9”, “build_id” 값인 “7dd16d1018865e5e817c418f87e6be00″는 바이너리에 하드코딩되어 있으며 “hwid”는 볼륨 시리얼 번호와 하드웨어 정보 등을 조합해서 생성한다.
3.3. 인증 및 명령 다운로드
이후 C&C 서버와 통신하는데 최초 통신 시 “hwid”, “format”, “build_id”를 전달한다.
Figure 4. 최초 통신 시 전송 데이터
전달받은 데이터를 복호화하면 다음과 같이 json 포맷의 설정 정보를 확인할 수 있다.
Figure 5. 다운로드된 설정 정보
| 항목 | 기능 |
|---|---|
| Cookies | 웹 브라우저 쿠키 정보 탈취 |
| History | 웹 브라우저 히스토리 정보 탈취 |
| cryptocurrency | 암호 화폐 정보 탈취 |
| steal_discord | Discord 정보 탈취 |
| request | “id_request” |
| telegram | Telegram 정보 탈취 |
| screenshot | 스크린샷 탈취 |
| steam | Steam 정보 탈취 |
| delete | 사용되지 않음 |
| loader | 추가 페이로드 또는 명령 다운로드 및 실행 |
| grabber_size_max | 파일 탈취 최대 사이즈 |
| azure | Azure 정보 탈취 |
| shell_code | 사용되지 않음 |
| debug | N/A |
| thread_count | N/A |
| zip_theshold | N/A |
| token | 이후 통신에서 사용할 토큰 값 |
Table 1. 설정 정보
3.4. 추가 조건 정보 다운로드
Vidar는 이후 다수의 요청을 C&C 서버에 전송하는데 “mode” 항목에 따라 각각의 추가적인 설정 데이터를 전달받는다. 1, 2, 3, 4, 21번을 통해 정보 탈취 대상 웹 브라우저나 지갑 파일 경로, 탈취 대상 파일 경로 등의 정보를 다운로드하며 5번을 통해 추가 페이로드 또는 명령을 다운로드할 수 있다. 이외에도 각각의 작업들에 대해 완료 시 보내는 “mode” 번호도 정해져 있다.
Figure 6. 4번 mode 요청 패킷
| mode | 방식 | 기능 |
|---|---|---|
| 1 | 다운로드 | 정보 탈취 대상 웹 브라우저 목록 |
| 2 | 다운로드 | 정보 탈취 대상 크로미움 기반 웹 브라우저 플러그인 정보 목록 |
| 3 | 다운로드 | 암호 화폐 지갑 파일 경로 목록 |
| 4 | 다운로드 | 탈취 대상 파일 경로 목록 (Grabber) |
| 5 | 다운로드 | 추가 페이로드 또는 명령 |
| 21 | 다운로드 | 정보 탈취 대상 파이어폭스 기반 웹 브라우저 플러그인 정보 목록 |
| 101 | 업로드 | 웹 브라우저 정보 수집 완료 |
| 301 | 업로드 | 암호 화폐 지갑 정보 수집 완료 |
| 401 | 업로드 | Grabber 수집 완료 |
| 501 | 업로드 | Loader 작업 완료 |
| 6 | 업로드 | 종료 |
| lg | 업로드 | 디버그 로그 |
Table 2. 추가 설정 다운로드에 사용되는 mode
각각의 mode에 따라 전달받은 데이터를 복호화하면 다음과 같이 수집 대상 파일들의 경로들 목록이나 정보 탈취 대상 크로미움 기반 웹 브라우저 플러그인들의 목록들이 확인되며 이를 기반으로 정보를 수집한다. 이외에도 “lg”의 경우 로그를 의미하는 것으로 추정되는데 복호화 시 다음과 같이 악성코드 실행 중 기록한 로그들을 확인할 수 있다.
Figure 7. 추가적으로 다운로드한 정보 탈취 조건 정보
Figure 8. mode가 lg인 경우 전달되는 디버그 로그
3.5. 탈취
Vidar는 최초 접속 시 전달받은 설정 플래그와 추가적인 요청을 통해 전달받은 조건들을 기반으로 정보를 탈취한다. 여기에서는 탈취 대상 정보들을 정리하는데 먼저 감염 시스템의 정보들이 포함되는 “information.txt”, FileZilla 및 WinSCP FTP 클라이언트의 자격 증명 정보가 포함되는 “passwords.txt” 그리고 스크린샷 파일인 “screenshot.jpg”가 있다.
Figure 9. information.txt 파일 전송
Figure 10. information 테스트 파일에 포함된 시스템 정보들
Figure 11. 전송하는 파일들 예시
| 전송 파일 | 탈취 대상 정보 | 파일 경로 |
|---|---|---|
| information.txt | 시스템 정보 | |
| screenshot.jpg | 스크린샷 | |
| passwords.txt | FileZilla, WinSCP FTP 클라이언트의 자격 증명 정보 | |
| <Browser>_<Profile>_passwords.db | Chromium 계열 저장 로그인 | “%LOCALAPPDATA\Google\Chrome\User Data\Default\Login Data” 등 |
| <Browser>_<Profile>_cookies.db | 쿠키 | Chromium 계열 : “%LOCALAPPDATA\Google\Chrome\User Data\Default\Network\Cookies” 등 Firefox 계열 : “%APPDATA%\Mozilla\Firefox\Profiles\<ProfileName>\cookies.sqlite” |
| <Browser>_<Profile>_history.db | 방문 기록 | Chromium 계열 : “%LOCALAPPDATA\Google\Chrome\User Data\Default\History” 등 Firefox 계열 : “%APPDATA%\Mozilla\Firefox\Profiles\<ProfileName>\places.sqlite” |
| <Browser>_<Profile>_webdata.db | Chromium 계열 AutoFill/Payment/Web Data | “%LOCALAPPDATA\Google\Chrome\User Data\Default\Web Data” 등 |
| <Browser>_key.txt | Chromium 계열 복호화 키 | “%LOCALAPPDATA\Google\Chrome\User Data\Local State”의 “encrypted_key” 등 |
| <Browser>_<Profile>_logins.json | Firefox 계열 로그인 정보 | “%APPDATA%\Mozilla\Firefox\Profiles\<ProfileName>\logins.json” |
| <Browser>_<Profile>_key4.db | Firefox 계열 Key DB | “%APPDATA%\Mozilla\Firefox\Profiles\<ProfileName>\key4.db” |
| <Browser>_<Profile>_formhistory.db | Firefox 계열 Form History | “%APPDATA%\Mozilla\Firefox\Profiles\<ProfileName>\formhistory.sqlite” |
| <Browser>_<Profile>_cert9.db | Firefox 계열 인증서 DB | “%APPDATA%\Mozilla\Firefox\Profiles\<ProfileName>\cert9.db” |
| Wallets\<plugin_name>\<Browser>\<Profile>\… | 암호 화폐 관련 웹 브라우저 플러그인 정보 | “%LOCALAPPDATA\Google\Chrome\User Data\Default\Local Extension Settings\<extension_id>\*”, “%LOCALAPPDATA\Google\Chrome\User Data\Default\Sync Extension Settings\<extension_id>\*” 등 |
| Soft\Discord\tokens.txt | Discord 토큰 정보 | “%APPDATA%\discord\Local State”, “%APPDATA%\discord\Local Storage\leveldb\*.ldb/*.log”, “%APPDATA%\discordcanary\…” 등 |
| Soft\Telegram\… | Telegram 정보 | “%APPDATA%\Telegram Desktop\tdata\key_datas”, “%APPDATA%\Telegram Desktop\tdata\settingss”, “Browser Local Storage\leveldb\*.ldb” 등 |
| Soft\Steam\… | Steam 정보 | 설치 경로의 ssfn* 파일, “Steam config\config.vdf”, “config\loginusers.vdf” 등 |
| Soft\Azure\… | Azure 정보 | “%USERPROFILE%\.azure\accessTokens.json”, “%USERPROFILE%\.azure\azureProfile.json” 등 |
| Files\… | Grabber 조건에 매칭되는 파일들 |
Table 3. 탈취 대상 정보 목록
4. 결론
Vidar는 채용 및 저작권 위반과 같은 키워드를 사용하는 피싱 메일을 통해 유포되고 있다. 문서 파일을 위장하여 유포되기 때문에 사용자는 문서 파일로 생각해 첨부 파일을 다운로드해 실행할 수 있으며 이 경우 시스템에 존재하는 자격 증명 정보, 사용자 파일들 등 민감한 정보가 탈취된다.
사용자들은 메일 첨부 파일뿐만 아니라 출처가 불분명한 실행 파일을 각별히 주의해야 한다. 또한 V3를 최신 버전으로 업데이트하여 악성코드의 감염을 사전에 차단할 수 있도록 신경 써야 한다.
AhnLab TIP를 구독하시면 연관 IOC 및 상세 분석 정보를 추가적으로 확인하실 수 있습니다. 자세한 내용은 아래 배너를 클릭하여 확인해보세요.
