- 해커들은 Amatera Stealer 악성코드를 설치하고 암호화폐 지갑 및 브라우저 데이터를 노리기 위해 가짜 reCAPTCHA 팝업을 배포하고 있습니다.
- eSentire는 기만적인 보안 알림을 통해 Amatera와 NetSupport RAT를 전달하는 ClickFix 기반 공격이 증가했다고 보고했습니다.
- Cephas 등 새로운 피싱 키트와 은닉 전술이 침해된 사이트와 가짜 인증 페이지를 통해 악성코드 캠페인의 범위를 확장하고 있습니다.
사이버보안 그룹 eSentire는 ClickFix라는 방법을 남용하여 피해자가 자격 증명 수집 악성코드인 Amatera Stealer와 NETSupport RAT를 실행하도록 속이기 위해 가짜 CAPTCHA 스타일 팝업을 사용했음을 밝혀냈습니다.
eSentire의 위협 대응 팀(TRU)은 11 월에 ClickFix 를 남용하여 표적 시스템에 초기 접근 권한을 획득하려는 캠페인이 확대되고 있음을 추적해 왔습니다. TRU 에 따르면 위협 행위자는 이 방법을 사용하여 Windows 실행 프롬프트를 통해 악성 명령을 수동으로 실행하도록 피해자를 사회공학적 기법으로 속입니다.
실행되면 이러한 명령어는 Amatera Stealer와 NetSupport RAT를 배포하는 감염 사슬을 시작합니다. 둘 다 합법적인 원격 모니터링 도구이지만 사이버 범죄자들이 무단 원격 접근을 위해 악용하고 있습니다.
ClickFix 캠페인은 reCAPTCHA를 이용해 악성코드를 은밀히 유입합니다
eSentire의 연구에 따르면 새로운 전망을 담은 블로그 게시물을 지난 목요일 해커들은 '보안 점검'처럼 보이는 가짜 웹사이트와 팝업, 그리고 사기성 reCAPTCHA 확인 상자 및 위조된 Cloudflare Turnstile 페이지를 통해 피해자를 유인했습니다.
이러한 기만적인 인터페이스는 사용자가 supposedly 문제를 '수정'하도록 유도하며, 제공된 지침은 위험성을 인지하지 못한 채 유해한 명령어를 실행하게 만듭니다. 초기 명령어가 실행되면 먼저 Amatera Stealer가 전달되고 이어 NetSupport Manager가 설치되어 해커들이 물리적으로 현장에 있는 것처럼 침해된 기기를 감시하고 제어할 수 있게 됩니다.
Amatera Stealer는 완전히 새로운 위협이 아니라 ACR Stealer(별칭: AcridRain)의 최신 진화형입니다. 이전 버전은 2024년 해커 포럼에서 처음 등장했으며, 이는 여러 사용자가 구독 패키지를 통해 배포한 말웨어 서비스(Malware-as-a-Service) 제품이었습니다.
ACR의 판매는 2024년 중순에 개발자 SheldIO가 악성코드의 소스 코드를 판매하면서 중단되었습니다. 판매 발표에도 불구하고 이 그룹은 개발의 끝이 아니라고 밝혔습니다. 연구원들은 현재 Amatera가 ACR의 직접적인 후계자이며, 더 많은 기능과 새로운 피싱 기법을 통해 재구성된 것으로 보고 있습니다.
6월에 보안 감사 회사인 Proofpoint에서 발견된 Amatera는 월 199달러에서 연간 1,499달러까지의 가입 요금제로 제공된다.
eSentire는 "Amatera는 암호화 지갑, 브라우저, 메시징 애플리케이션, FTP 클라이언트 및 이메일 서비스를 대상으로 광범위한 데이터 탈취 기능을 제공합니다. 이 악성코드는 샌드박스, 안티바이러스 솔루션 및 EDR 제품에서 사용하는 사용자 모드 훅 메커니즘을 우회하기 위해 WoW64 SysCalls와 같은 고급 우회 전략을 사용합니다."라고 밝혔습니다.
이 악성코드는 C++로 작성되었으며 다음과 같은 기능을 수행할 수 있습니다. 수확 Chrome, Brave, Edge, Opera, Firefox 및 Tor Browser 및 Thunderbird와 같은 전문 플랫폼에서 저장된 비밀번호, 카드 정보, 검색 기록 및 파일 등을 복구할 수 있습니다.
악성코드를 숨기는 다단계 Windows PowerShell 로더
eSentire의 위협 분석에 따르면 Amatera의 감염 프로세스는 여러 단계로 숨겨진 PowerShell 명령어 기반으로 구축되어 있습니다.
TRU 연구진은 'AMSI_RESULT_NOT_DETECTED'라는 문자열에 대한 XOR 프로세스를 사용하여 후속 페이로드를 복호화하는 단계를 목격했습니다. 이 용어는 Microsoft의 안티 맬웨어 스캔 인터페이스와 관련이 있으며, 로더 개발자는 동적 분석을 수행하는 연구진을 혼란스럽게 하기 위해 의도적으로 이 구문을 선택했을 수 있습니다.
Amatera는 이러한 캠페인에서 가장 일반적으로 배포되는 페이로드이지만, eSentire는 동일한 로더를 Lumma 및 Vidar와 같은 다른 정보 탈취 프로그램 배포에 사용한 사례도 문서화했습니다. 일부 샘플은 다단계 로더를 실행하는 데 필요한 구성 매개변수가 없었으며, 해커들은 대신 NetSupport Manager를 직접 배포하기로 선택했습니다.
eSentire 및 기타 보안 기업들은 송장 위장의 Visual Basic Script 파일을 배포하는 이메일 캠페인을 문서화했습니다. 파일을 열면 배치 스크립트가 실행되어 XWorm을 전달하는 PowerShell 로더가 시작되었습니다.
다른 캠페인은 방문자를 가짜 Cloudflare 인증 페이지로 리디렉션하는 침해된 웹사이트를 포함했으며, 이는 ClickFix 프롬프트를 모방합니다. 이 활동은 SmartApeSG, HANEYMANEY, ZPHP라는 이름으로 알려진 운영과 연결되어 있으며, 모두 NetSupport RAT를 최종 페이로드 사용합니다.
해커들은 위조 CAPTCHA 검사를 호스팅하는 사기성 Booking.com 웹사이트를 구축하여 사용자에게 Windows 실행 대화상자를 열고 명령을 실행하도록 지시한 후, 감염된 시스템에 직접 자격 증명 탈취 스크립트를 설치했습니다.
일부 피싱 캠페인 이러한 말웨어 전달과 연결된 것은 Cephas라는 새로운 피싱 키트를 사용하고 있습니다. 사이버 보안 솔루션 기업 Barracuda에 따르면 Cephas는 자동 스캐너가 탐지하기 어려운 피싱 페이지 소스 코드에 보이지 않는 문자를 삽입하는 고급 은닉 방법을 사용합니다.
“이 키트는 소스 코드 내에 무작위 보이지 않는 문자를 생성하여 코드를 은폐함으로써 반피싱 스캐너를 회피하고 시그니처 기반 YARA 규칙이 정확한 피싱 기법을 매칭하지 못하게 합니다,”라고 Barracuda 별도의 글에서 지난 주 분석에서 밝혔습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
