Microsoft, Tor 및 USB 드라이브를 통해 시드 구문, 키 및 지갑을 훔치는 Windows 암호 클리퍼 경고

Microsoft는 2월부터 조용히 운영되어 Windows 기계를 표적으로 삼는 악성 프로그램을 경고했습니다. CryptoBandits라는 이 악성 프로그램은 Tor 네트워크를 통해 시드 구문, 키 및 지갑을 훔칠 수 있으며 USB 드라이브를 통해 전달 가능합니다. 

6월 17일 게시글 게시된 블로그에서 Microsoft Threat Intelligence 및 Microsoft Defender 전문가들은 피해자가 눈치채지 못하게 암호 지갑을 털어온 악성 캠페인을 폭로했습니다. Microsoft 보안 전문가들은 수개월 동안 악성 프로그램을 탐지 불가능하게 만든 구식 USB 웜 전술과 현대적인 익명성 도구들의 혼합을 제시했습니다.

연구진에 따르면, 이 악성 캠페인은 클립보드 도청, 지갑 주소 교체, 웜과 같은 확산 및 Tor 기반 통신을 단일 프로그램으로 실행할 수 있습니다. 이 프로그램은 악성 코드가 실행된 후에도 로컬 머신에 대한 접근 권한을 유지했습니다. 

Microsoft는 감염이 어떻게 실행되는지 설명합니다

Microsoft의 상세한 블로그 게시물은 감염이 USB 스틱을 통해 고전적인 방식으로 시작되었음을 밝혔습니다. 그런 다음 악성 코드는 리무버블 드라이브에 떨어뜨린 바로가기에 접근합니다. 기기에 연결하면 웜 구성 요소가 즉시 활성화됩니다. 

웜 구성 요소는 장치의 DOC, 스프레드시트, PDF와 같은 일반 파일을 찾아내고, 실제 파일을 숨긴 후 동일한 이름을 가진 가짜 바로가기로 대체합니다. 이렇게 되면 무심코 Windows 사용자는 일반적인 Word 또는 Excel 파일을 여는 것이라고 생각하여 바로가기를 클릭하지만, 대신 악성 코드가 트리거됩니다.

그런 다음 악성 코드는 기기의 USB 드라이브로 자신을 복제하고, 재부팅 후에도 실행되도록 예약된 작업을 설정하며, Microsoft Defender 스캔에서 자신을 제외합니다. 

두 번째 단계에서 실제 클리퍼가 활성화되면, 스크립트 기반 페이로드는 일반적인 설치 프로그램이 아닌 Windows ScriptHost 및 Active X 객체에 의존하여 탐지가 매우 어렵습니다. 

모든 설정이 완료되면, 악성 코드는 숨겨진 창에서 Tor 클라이언트를 실행하고 고유한 피해자 ID를 생성하여 Tor onion 주소 뒤에 숨겨진 명령 및 제어 서버에 자신을 등록합니다. 이렇게 하면 악성 코드는 탐지되지 않고 해당 숨겨진 채널을 통해 정보를 성공적으로 채널링할 수 있습니다. 

Microsoft, 왜 이 악성 프로그램이 잡기 어려운지

Microsoft 보안 팀은 악성 코드가 루프에 정착하여 운영자를 폴링하고 클립보드를 약 0.5초마다 스캔한다고 설명했습니다. 이 프로그램은 12개 또는 24개의 단어 BIP39 시드 구문을 인식하도록 특별히 개발되었습니다. 

악성 코드는 Ethereum 키와 비트코인 WIF 형식의 개인 키를 스캔하고, 로컬 백업을 저장한 후 Tor 네트워크를 통해 공격자 서버로 푸시합니다. 푸시가 성공할 때까지 동일한 이벤트 시퀀스를 여러 번 재시도하도록 설계되었습니다. 그런 다음 프로그램은 성공적인 푸시 후에만 로컬 사본을 삭제하고, 초당 여러 번 스크린샷을 찍어 공격자에게 피해자의 지갑 잔액 및 활동에 대한 시각적 판독을 제공합니다. 

클립보드에 지갑 주소가 나타나면, 악성 코드는 피해자가 붙여넣기 전에 이를 공격자가 제어하는 주소로 바꿀 수 있습니다. Bitcoin 주소를 복사하여 결제를 보내면, 실제로 목적지 필드에 도착하는 것은 완전히 다른 사람의 것일 수 있습니다.

Microsoft Defender Antivirus는 이제 이 위협을 Trojan:Win32/CryptoBandits.A로 플래그 지정하며, Defender for Endpoint는 의심스러운 JavaScript 프로세스 및 curl 기반 데이터 유출과 같은 동작을 모니터링합니다.