SantaStealer, 암호화폐 지갑을 주요 표적으로 삼다

SantaStealer는 암호화폐 지갑을 표적으로 하는 새로운 정보 탈취 멀웨어입니다. 이 멀웨어-어-서비스(MaaS)는 모든 유형의 암호화폐와 연결된 개인 데이터를 추출합니다.

라피드7의 연구원들은 SantaStealer가 BluelineStealer라는 다른 정보 탈취 멀웨어의 리브랜딩이라고 말합니다. SantaStealer의 개발자는 연말 이전에 더 광범위한 출시를 준비 중이라는 소문이 있습니다.

현재 이 멀웨어는 텔레그램과 해커 포럼에서 광고되며 구독 서비스로 제공됩니다. 기본 접근 권한은 월 175달러이며, 프리미엄 접근 권한은 더 비싸서 300달러입니다.

SantaStealer 멀웨어 개발자들은 안티바이러스 우회 및 기업 네트워크 접근을 포함한 엔터프라이즈 수준의 기능을 주장합니다.

SantaStealer, 암호화폐 지갑 표적

암호화폐 지갑은 SantaStealer의 주요 초점입니다. 이 멀웨어는 Exodus와 같은 암호화폐 지갑 앱과 MetaMask와 같은 브라우저 확장 프로그램을 표적으로 합니다. 디지털 자산과 연결된 개인 데이터를 추출하도록 설계되었습니다.

이 멀웨어는 여기서 멈추지 않습니다. 또한 비밀번호, 쿠키, 브라우저 기록, 저장된 신용카드 정보를 포함한 브라우저 데이터를 탈취합니다. 텔레그램과 디스코드와 같은 메시징 플랫폼도 표적이 됩니다. 스팀 데이터와 로컬 문서도 포함됩니다. 멀웨어는 데스크톱 스크린샷을 캡처할 수도 있습니다.

이를 위해 임베디드 실행 파일을 다운로드하거나 로드합니다. 해당 실행 파일은 브라우저를 대상으로 코드를 복호화하고 주입합니다. 이를 통해 보호된 키에 접근할 수 있습니다.

SantaStealer는 여러 데이터 수집 모듈을 동시에 실행합니다. 각 모듈은 자체 스레드에서 작동합니다. 탈취된 데이터는 메모리에 기록되고 ZIP 파일로 압축된 후 10MB 단위로 유출됩니다. 데이터는 포트 6767을 통해 하드코딩된 명령 및 제어 서버로 전송됩니다.

브라우저에 저장된 지갑 데이터에 접근하기 위해, 멀웨어는 2024년 7월에 도입된 크롬의 앱 바운드 암호화(App-Bound Encryption)를 우회합니다. 라피드7에 따르면, 여러 정보 탈취 멀웨어가 이미 이를 무력화했습니다.

이 멀웨어는 완전한 회피 기능을 갖춘 고급형으로 마케팅되고 있습니다. 그러나 라피드7 보안 연구원들은 이 멀웨어가 이러한 주장을 충족하지 않는다고 말합니다. 현재 샘플은 분석하기 쉬우며 심볼과 읽을 수 있는 문자열을 노출합니다. 이는 급박한 개발과 약한 운영 보안을 시사합니다.

"웹 패널에서 광고된 탈취기의 반분석 및 스텔스 기능은 매우 기본적이고 아마추어적이며, 제3자 크롬 복호화 페이로드만 다소 숨겨져 있습니다."라고 라피드7의 밀란 스파인카는 썼습니다.

SantaStealer의 애페일리엇 패널은 세련되었습니다. 운영자는 빌드를 사용자 정의할 수 있으며, 모든 데이터를 탈취하거나 지갑 및 브라우저 데이터에만 집중할 수 있습니다. 옵션에는 독립국가연합(CIS) 지역을 제외하고 실행을 지연시키는 기능도 포함됩니다.

SantaStealer는 아직 대규모로 확산되지 않았으며, 배포 방법은 명확하지 않습니다. 최근 캠페인은 ClickFix 공격을 선호하며, 피해자들은 악성 명령을 윈도우 터미널에 붙여넣도록 속입니다.

연구원들에 따르면, 다른 멀웨어 배포 경로가 여전히 일반적입니다. 여기에는 피싱 이메일, 불법 소프트웨어, 토렌트, 말웨어, 그리고 기만적인 유튜브 댓글이 포함됩니다.

보안 연구원들은 암호화폐 사용자들이 경계를 늦추지 말고 알려지지 않은 링크와 첨부 파일을 피하도록 조언합니다.

스파인카는 "불법 소프트웨어, 비디오 게임 치트, 검증되지 않은 플러그인 및 확장 프로그램과 같은 출처에서 검증되지 않은 코드를 실행하지 마십시오."라고 썼습니다.