2026년 9월 인포스틸러 동향 보고서
내용
2026년 9월 한 달 동안 수집된 신규 인포스틸러(정보 탈취 악성코드)의 유포 채널, 악성코드 수량, 탐지 수량, 위장 대상 기업 정보를 정리한 동향 보고서이다. ASEC(AhnLab SEcurity intelligence Center)와 AhnLab 제품의 진단 로그를 기준으로 집계했으며, 자동 수집 시스템과 이메일 허니팟 시스템에서 수집한 샘플을 포함한다.
목적 및 범위
이 보고서는 인포스틸러의 전반적인 유포 수량, 위장 기법, 유포 방식의 추이를 확인하는 용도로 작성되었다. 별도로 언급되지 않은 주요 이슈와 분석 정보는 AhnLab TIP(Threat Intelligence Platform, 이하 ATIP)에서 확인할 수 있다.
주요 통계
크랙(Crack), Keygen 등 불법 프로그램으로 위장한 인포스틸러가 SEO Poisoning을 통해 유포되었다. 주요 유포지로는 mediafire.com, amazonaws.s3.us-east-1.amazonaws.com, mega.nz, cloudflarestorage.com 등이 확인되었다. 위장 대상 기업으로는 Brospint Studio, Aurora Wave Labs, Microsoft Corporation, Python Software Foundation 등이 집계되었다.
실행 유형은 EXE가 약 90.8%로 대부분을 차지했고, DLL Sideloading(정상 EXE와 악성 DLL을 함께 두어 악성 DLL이 로드되게 하는 기법)은 약 9.2%였다. DLL Sideloading에 사용된 주요 DLL은 python37.dll, python36.dll, POWRPROF.dll, jli.dll 등이었다.
신종 인포스틸러 Lzveil은 Rust 기반으로 제작되었으며, C2 서버에서 설정 데이터를 내려받아 동작한다. 문자열은 변형된 Base64 알고리즘으로 복호화되며, C2 통신에서는 XOR 암호화와 LZNT1 압축을 함께 사용한다. 실행 시 설치된 프로그램 목록, CPU 이름, 드라이버 정보 등을 C2로 전송하고, 응답에 따라 추가 악성코드 설치가 활성화될 수 있다.
이메일 유포 사례로는 카타르 건설업체를 사칭한 메일에 DarkCloud 인포스틸러가 포함되었고, 유명 물류기업을 사칭한 메일에 AgentTesla 인포스틸러가 포함되었다. DarkCloud는 문서 파일, 키로깅 데이터, 이메일 클라이언트 정보, 브라우저 정보, 스크린샷, 암호화폐 지갑 정보를 탈취하며, AgentTesla는 FTP, Telegram, SMTP 등으로 탈취 정보를 전송할 수 있다.
결론
인포스틸러 공격 그룹은 크랙 위장 파일, 정상 사이트 게시글, 이메일 등 다양한 경로를 이용해 기업과 개인 사용자 모두를 대상으로 활발히 유포하고 있다. 탈취된 정보는 다크웹에서 거래되거나 2차 공격에 활용될 수 있으므로, 신뢰할 수 없는 링크와 첨부파일 주의, 불법 프로그램 사용 금지, 2FA 사용, 보안 소프트웨어 최신 유지가 필요하다.
