불법 도박 하려다 RAT 악성코드 감염된다

2024-02-07 10:40
  • 카카오톡
  • 네이버 블로그
  • url
불법 도박 관련 파일로 위장한 RAT 악성코드, 개인정보유출 및 키로깅 등 위협
공격자 베놈 RAT·판도라 hVNC 등 다양한 악성코드 사용


[보안뉴스 박은주 기자] 불법 도박 관련 파일로 위장한 RAT 악성코드가 유포되고 있다. 바로가기(Lik) 파일을 통해 퍼지고 있는데, 지난 1월 카카오 인증서로 위장해 악성코드를 유포한 베놈(Venom) RAT 악성코드 유포 방식과 동일하다.


[이미지=ASEC]

RAT 악성코드는 바로가기 파일을 통해 HTML 응용 코드인 HTA에서 다운로드 된다. 해당 바로가기 파일에는 악성 파워쉘 명령어가 포함돼 있고, MSHTA를 실행해 악성 스크립트를 내려받는다.


▲악성코드 동작과정[자료=ASEC]

안랩 시큐리티 인텔리전스 센터(ASEC)의 분석에 따르면 바로가기 파일에 포함된 악성 URL은 다음과 같다.

-hxxp://193.***.***[.]253:7287/2.hta.hta
-hxxp://193.***.***[.]253:7287/.hta
-hxxp://85.209.176[.]158:7287/6.hta


▲불법 도박 베팅과 관련한 방법이 저장된 percent.xlsm 파일[이미지=ASEC]

이중 첫 번째 URL에는 VBS 코드가 존재한다. VBS 코드 내부에는 정상 문서 파일과 RAT 악성코드를 내려받는 파워쉘 명령어가 난독화돼 있다. 파워쉘 명령어는 실행 시 특정 주소에서 엑셀 문서를 내려받는다. 문서는 ‘%APPDATA%’ 폴더에 percent.xlsm 파일(이하 엑셀 파일)로 저장된다. 엑셀 파일은 불법 도박 베팅과 관련한 방법이 저장돼 있다. 관련 사용자를 대상으로 유포되는 것으로 예상된다.


▲악성 URL에서 확인된 추가 파일 목록[이미지=ASEC]

이후 추가 실행 파일을 내려받아 ‘%APPDATA%’ 폴더에 darkss.exe로 저장된다. 저장된 실행 파일은 베놈 RAT 악성코드로 키로깅 및 사용자 정보를 유출할 뿐만 아니라, 공격자로부터 명령을 받아 다양한 악성 행위를 수행할 수 있다.

또한 공격자는 다양한 종류의 RAT 악성코드를 사용하고 있다. 악성 파일 외에 다양한 HTA 스크립트와 디코이 문서 파일, 악성 실행 파일이 포함돼 있다. 추가로 확인된 디코이 문서 역시 불법 도박 사이트 관련 정보를 포함하고 있으며, 심지어 일부 사용자의 개인정보가 담겨 있다. 이중 악성 실행 파일인 ‘Darksoft111.exe’와 ‘Pandora_cryptered.exe’는 각각 베놈 RAT과 판도라(Pandora) hVNC 악성코드로 확인됐다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

헤드라인 뉴스

TOP 뉴스

이전 스크랩하기


과월호 eBook List 정기구독 신청하기

    • 하이크비전

    • 인콘

    • 모토로라시스템

    • 마이크로시스템

    • 다봄씨엔에스

    • 아이디스

    • 씨프로

    • 웹게이트

    • 씨게이트

    • 한화비전

    • ZKTeco

    • 비엔에스테크

    • 비엔비상사

    • 원우이엔지
      줌카메라

    • 지인테크

    • 비전정보통신

    • 이화트론

    • 다누시스

    • 테크스피어

    • 렉스젠

    • 슈프리마

    • 혜성테크윈

    • 시큐인포

    • 미래정보기술(주)

    • 엔토스정보통신

    • 아이서티

    • 경인씨엔에스

    • 메인아이티

    • 성현시스템

    • 효성인포메이션시스템

    • 다후아테크놀로지코리아

    • 디비시스

    • 아이리스아이디

    • 한국씨텍

    • 지오멕스소프트

    • 이오씨

    • 투윈스컴

    • 이에스티씨

    • (주)우경정보기술

    • 살토시스템

    • 유니뷰코리아

    • 세연테크

    • 이앤엠솔루션

    • 위트콘

    • 트루엔

    • 엔텍디바이스코리아

    • 포엠아이텍

    • 유에치디프로

    • 주식회사 에스카

    • 넥스트림

    • 포티넷

    • 휴네시온

    • 안랩

    • 나온웍스

    • 클래로티

    • 앤앤에스피

    • 이글루코퍼레이션

    • 노조미네트웍스

    • 카스퍼스키랩코리아

    • 한드림넷

    • 신우테크
      팬틸드 / 하우징

    • 에프에스네트워크

    • 네이즈

    • 케이제이테크

    • 셀링스시스템

    • 사라다

    • 아이엔아이

    • 풍림무약주식회사

    • 새눈

    • 앤디코

    • 태정이엔지

    • 네티마시스템

    • 에이앤티코리아

    • 모스타

    • 미래시그널

    • 유투에스알

    • (주)일산정밀

    • HGS KOREA

    • 에스에스티랩

    • 에이앤티글로벌

    • 주식회사 알씨

    • 창성에이스산업

    • 엔에스티정보통신

    • 보문테크닉스

    • 엘림광통신

    • 메트로게이트
      시큐리티 게이트

    • 현대틸스
      팬틸트 / 카메라

    • 티에스아이솔루션

    • 두레옵트로닉스

    • 지에스티엔지니어링
      게이트 / 스피드게이트

    • 지와이네트웍스

    • 구네보코리아주식회사

    • 동양유니텍

    • 포커스에이치앤에스

    • 엔시드

    • 엠스톤

    • 글로넥스

    • 유진시스템코리아

    • 카티스

    • 세환엠에스(주)

Copyright thebn Co., Ltd. All Rights Reserved.

MENU

회원가입

PC버전

닫기