* 출처는 안랩입니다.

실행 방식 변경을 통한 유포 확대

이번에 확인된 신종 인포스틸러는 불법 프로그램으로 위장해 유포됐으며, 일부는 별도의 다운로더를 통해 실행되는 것으로 나타났다.

실행 방식도 유포 시점에 따라 달라졌다. 초기에는 테스트 목적으로 추정되는 소규모 배포가 이뤄졌으며, 당시에는 윈도우 자동화 스크립트 도구인 Autolt를 활용했다. 이후에는 윈도우 탐색기 프로세스에 악성코드를 주입해 동작시키는 프로세스 인젝션(Process Injection) 방식이나 독립 실행 방식으로 변경됐다. 이러한 변화 이후 9월 초부터 대량 유포가 본격화됐다.

이처럼 이번 인포스틸러는 유포 시점과 샘플에 따라 실행 방식이 달라지고 있어 특정 실행 파일의 탐지뿐만 아니라 정상 프로세스에서 발생하는 비정상적인 코드 주입 행위도 살펴볼 필요가 있다.

[그림 1] 유포 페이지 예시

악성 행위를 숨기는 다양한 회피 기법

이번 인포스틸러는 Rust 프로그래밍 언어를 기반으로 제작됐으며, 악성코드의 내부 구조와 실행 과정을 쉽게 파악하지 못하도록 여러 기법을 사용한다. 대표적으로 동적 JMP를 활용한 안티 디스어셈블(Anti-Disassembly), CPU 메모리 캐시 조회를 활용한 안티 샌드박스(Anti-Sandbox), DLL 인젝션 등이 있다. 이들은 기존 인포스틸러에서 흔히 사용되지 않던 기법이다.

• 안티 디스어셈블: 악성코드의 기계어를 분석 가능한 코드로 변환하는 과정을 방해하는 기법
• 안티 샌드박스: 악성코드가 격리된 분석 환경에서 실행되고 있는지 탐지하고, 분석 환경으로 판단되면 악성 행위를 숨기는 방식

실제로 해당 인포스틸러는 실행 환경이 샌드박스나 가상 환경인 것으로 판단되면 정보 탈취를 수행하지 않고 종료한다. 이때 "I love stealing cookies, but not on this machine. Sorry!"라는 메시지를 출력했다. 최근 유포된 일부 샘플에서는 내부에 암호화된 상태로 저장된 DLL 파일을 복호화한 뒤 Explorer 프로세스에 주입하는 수법이 사용됐다.

[그림 2] VM 환경 탐지 시 출력되는 메시지 박스

* 전체내용은 아래에서 확인하세요.

https://www.ahnlab.com/ko/contents/content-center/36338