공격 대상 PC 대상 파일 정보 수집 및 조작, 파일 업·다운로드 등 다양해
사용자 ID 및 프로세스 ID 수집, 암호화한 후 공격자에게 자동으로 전송

[보안뉴스 김영명 기자] 최근 한 캠페인에서 ‘비프로스트랫(Bifrost RAT)’ 악성코드와 타이포스쿼팅(typosquatting) 방식이 적용된 C&C 서버 도메인을 사용하는 정황이 공개됐다. 타이포스쿼팅은 특정 사이트의 도메인 이름을 모방해 철자를 다르게 등록하는 방식으로, 이번 캠페인에서는 VMware 사이트를 사칭한 사이트를 공격자의 C&C 서버 도메인에 활용했다. 또한 이 과정에서 배포된 비프로스트는 감염된 환경에서 호스트 이름, IP 주소 등의 정보를 수집해 공격자에게 보내고, 공격자의 C&C 서버에서 받은 명령을 수행할 수 있다.


▲strace로 확인한 Bifrost 실행 로그[자료=잉카인터넷 시큐리티대응센터]

잉카인터넷 시큐리티대응센터의 분석에 따르면 이번 캠페인에서는 공격자의 C&C 서버 도메인으로 VMware 사이트와 유사한 ‘download.vmfare[.]com’ 사이트를 사용해 사용자의 유입을 유도했다. 또한 대만 공용 DNS 서버에 공격자의 C&C 서버 도메인을 쿼리하지만 분석 시점에서는 해당 도메인의 정보를 획득할 수 없었다.

DNS 서버에 쿼리한 도메인의 정보를 획득하면 비프로스트랫 악성코드는 감염된 환경의 IP 주소, 호스트 이름 및 프로세스 ID 등의 정보를 수집한다. 먼저 IP 주소는 시스템에 구성된 네트워크 인터페이스 목록을 얻은 다음 루프백 인터페이스를 제외한 정보를 획득한다.

시스템의 호스트 이름은 함수 호출로 획득한 데이터를 구성하는 구조체에서 획득한다. 그다음으로 시스템 호출을 사용해 해당 프로세스의 사용자 ID와 프로세스 ID를 수집한다. 수집한 정보는 IP 주소, 호스트 네임, UID, PID 등 일정한 양식에 맞춰 구성되며 알고리즘을 사용해 암호화한 후 공격자에게 전송된다.


▲데이터 수집 결과와 수집 및 전송 관련 코드[자료=잉카인터넷 시큐리티대응센터]

공격자에게 수집된 정보가 전달된 이후 공격자의 C&C 서버에서 수신된 명령에 따른 행동을 수행할 수 있다. 그리고 비트프로스트에서 사용하는 명령은 파일 정보 수집, 파일 다운로드·업로드, 파일 조작, 기타 등이 있다.

잉카인터넷 시큐리티대응센터 관계자는 “비트프로스트 랫 악성코드와 같이 타이포스쿼팅 방식을 활용해 C&C 서버 등의 도메인을 변조할 경우 탐지가 어려울 수 있어 주의가 필요하다”며 “사용자는 백신 프로그램의 실시간 감시를 활성화하고 항상 최신 버전으로 유지해야 한다”고 밝혔다. 이밖에도 리눅스 서버 관리자는 패킷 로그를 주기적으로 확인할 것도 권고되고 있다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>