게임 플랫폼 통해 유포 중인 루마C2 악성코드 주의

M5 plc-wave 24.07.26. 11:06:00

585 15

* 출처는 안랩입니다.

루마C2(LummaC2)는 정보탈취형 악성코드로, SEO-Poisoning 기법을 사용한 유포 사이트와 유튜브(YouTube), 링크드인(LinkedIn)에서 크랙, 키젠(Keygen), 게임 핵과 같은 불법 프로그램으로 위장했다. 또한, 최근에는 노션(Notion), 슬랙(Slack), 캡컷(CapCut) 등의 홈페이지로 위장해 검색 엔진의 광고에 노출되는 기법으로 유포되기도 했다.

루마C2의 유포 과정을 자세히 알아보자.

루마C2는 실행 방식에도 꾸준히 변형이 발생하고 있다. 현재는 단일 EXE 형태의 파일로 유포되거나 DLL 사이드로딩(Sideloading) 기법을 사용해 악성 DLL과 이를 실행하는 정상 EXE를 함께 압축한 형태로 유포 중이다.

[그림 1] 단일 EXE 형태 유포(좌), DLL 형태 유포(우)

참고 링크: 정상 EXE 파일 실행 시 감염되는 정보탈취 악성코드 주의

이와 같이 변형을 거듭하고 있는 루마C2의 최근 변형에서 게임 플랫폼 ‘스팀(Steam)’을 C2 도메인 획득 목적으로 악용하고 있는 것을 확인했다. 기존에는 모든 C2 정보가 악성코드 샘플 내부에 존재했으나, 현재는 공격자가 정상 사이트를 악용하며 공격자가 선호하는 시점에 원하는 도메인으로 C2를 변경할 수 있게 됐다.

이 방식은 기존 비다르(Vidar) 악성코드가 사용했던 것으로, 비다르는 스팀을 비롯한 틱톡, 마스토돈(Mastodon), 텔레그램(Telegram) 등 여러 정상 플랫폼을 악용해 C2 정보를 획득하는 방식을 사용한 이력이 있다.

· 참고 링크: 다양한 플랫폼을 악용하는 Vidar Stealer