악성코드 및 C2 서버에 대한 경고
본 기사는 Google 검색이나 Reddit에서 발견한 CxxCxx Pro의 활성화 도구(Activator)를 가장한 악성코드를 제가 실제로 다운로드하고 실행했던 경험담과 분석 기록입니다.
안전을 위해, 아래에 기재된 배포원 URL 및 C2 서버(지령 서버)의 IP 주소와 도메인에는 절대로 접속하지 마십시오.
**악성코드 샘플 #1 (WebRTC RAT)
$
ightarrow$Pro.rar
(비밀번호: 2026)
$
ightarrow$CxxCxx pro activator.exe
-
C2 서버 IP 주소:-
hxxp[:]//217.60.102[.]156
(현재 접속 불가) -
hxxp[:]//91.92.243[.]204
(현재도 작동 중)
-
**악성코드 샘플 #2 (CxxCxx Pro Full Version)
-
Electron Dropper):**-
Reddit 게시물 URL:hxxps[:]//www.reddit[.]com/r/PodcastX/comments/1pvbuwa/cxxcxx_pro_crack_free_full_version_download_for/
-
배포 파일:hxxps[:]//deplay[.]cc/dl/appget?...
$
ightarrow$Setup.zip
$
ightarrow$Setup_Installer.exe
얼마 전, Google에서 CxxCxx Pro에 대해 조사하던 중, 검색 결과 1페이지에 두 개의 Reddit 게시물이 눈에 띄었습니다. 열어보니 게시물 날짜도 최신이었고, 댓글란에는 “문제없이 작동했다”는 글들이 여러 개 있었으며, 심지어 언어 통계가 JavaScript 98%로 표시된 소스 코드 리포지토리 링크까지 붙어 있어, 보기에는 상당히 그럴듯한 내용이었습니다.
저는 시험 삼아 두 패키지를 제 개인 PC에 다운로드해 보았습니다. 다운로드부터 압축 해제까지 Windows Defender에서는 아무런 경고도 나오지 않았습니다. 그래서 첫 번째 패키지를 열고, CxxCxx pro activator.exe를 실행해 보았습니다. 하지만 화면에는 아무것도 표시되지 않았고, 잠시 디스크 사용률이 100%가 되면서 PC가 약간 느려진 후, 곧바로 원래대로 돌아왔습니다. “도구가 고장 났거나 환경에 맞지 않은 것이겠지”라고 생각한 저는, 일반 앱을 삭제하는 것처럼 해당 폴더를 지웠습니다.
그 후 문득 궁금해서, 최근 GitHub에서 큰 화제가 되고 있는 **REA (reverse-engineer-anything)**라는 새로운 도구와 AI를 결합하여 다운로드한 파일의 내용을 조사해 보기로 했습니다. 그리고 이때서야 제가 방금 실행했던 것의 진짜 정체를 알게 되었습니다.
최근 엔지니어들 사이에서 **REA (reverse-engineer-anything)**라는 오픈소스 프로젝트가 큰 화제가 되고 있습니다. 10월 3일 기준으로 아직 500 스타 정도였음에도 불구하고, 월말에는 무려
GitHub에서 400,000 스타를 돌파하는 폭발적인 성장세를 보이고 있습니다.
*“Reverse Engineer Anything (모든 것을 리버스 엔지니어링하다)”*라는 이름과 AI의 조합을 들으면, 많은 분들이 아마 이런 의문을 가질 것입니다.
“이 도구를 사용하면 소프트웨어 크랙(불법적인 제한 해제)이나 앱 기능 개조(Mod)가 가능한 건가?”
결론부터 말하자면, 답은 '아니다(NO)'입니다. 하지만 방어 측(화이트햇)의 관점에서 올바르게 사용했을 때 얻을 수 있는 가치는 소프트웨어 크랙 등과는 비교할 수 없을 만큼 거대했습니다.
REA의 특징은 크게 다음 두 가지로 요약됩니다.
- 소프트웨어 크랙이나 변조는 불가능합니다:
유료 소프트웨어든 무료 소프트웨어든, 기능을 수정하는 방식의 변조(Mod)를 REA로는 수행할 수 없습니다. REA는 설계 철학 자체가 **완전한 읽기 전용(Read-Only)**으로 만들어졌습니다. 즉, 파일 내부 구조를 읽어 분석만 할 뿐이며, 바이너리에 패치를 적용하거나 원본 실행 파일에 덮어쓰기 컴파일을 일절 하지 않습니다. 또한, 안전 기준이 갖춰진 AI 모델과 결합하여 사용하기 때문에 저작권 보호 회피와 관련된 요청은 AI 측에서도 거부됩니다.
- 기계어 수준의 분석이 압도적으로 빠르고 깊습니다:
통상적으로 생소한 .exe나 .dll 파일이 내부적으로 무엇을 하는지 알아내려면, IDA Pro나 Ghidra 같은 전문 도구를 능숙하게 다루고 몇 시간 동안 어셈블리나 기계어를 추적해야 합니다. REA는 그 바이너리 분석 능력을 AI의 스킬로 제공합니다. 전자 서명 검증, 메모리 구조, .dll 내부의 숨겨진 함수 식별은 물론 암호화 레이어까지도 AI가 자동으로 실행해주기 때문에, 자연어로 지시하는 것만으로 수상한 소프트웨어의 내부 구조를 단 몇 분 만에 상세히 파악할 수 있습니다.
작동하지 않았던 앞서의 도구를 삭제한 후, 저는 'REA가 있는 김에, 내용물이 어떻게 되어 있는지 한번 보자'는 생각이 들었습니다.
처음에는 순수한 기술적 호기심이었습니다. 저는 이 CxxCxx Pro 도구가 MITM(중간자 공격/로컬 프록시) 메커니즘을 사용하고 있으며, 서버로부터의 응답에 위조 데이터를 주입하여 앱 측에 'Pro 계정이다'라고 오인하게 만드는 것이리라 추측했습니다. 그래서 다운로드한 cxxcxx_pro-master 폴더를 AI와 REA에 읽히게 하고, 제 추측이 맞는지 소스 코드를 확인시켜 보았습니다.
단 30초 정도 만에, AI로부터 돌아온 결과를 보고 등골이 오싹해졌습니다.
AI + REA를 통한 소스 코드 분석 결과:
cxxcxx_pro-master 폴더 전체에서 MITM이나 프록시, 혹은 CxxCxx와 관련된 코드는 단 한 줄도 존재하지 않았습니다.
- 안에 들어있던 대량의
.js나 .css 파일은 사실 2019년경 (문서 사이트 생성 도구) 초기 템플릿 그 자체였습니다. 공격자가 이 샘플 파일들을 그대로 남겨둔 것은, 단순히 리포지토리의 언어 통계 바를 Fxxxxxxx Dxxxxxxxxx JavaScript 98%로 표시시켜 정상적인 오픈 소스 프로젝트처럼 보이게 하려는 목적이었습니다.
- 유일하게 수정된 것은
README.md뿐이었고, 그곳에는 비밀번호 '2026' (브라우저나 백신 소프트웨어의 자동 스캔을 회피하기 위한 비밀번호)가 설정된 Pro.rar 다운로드 링크가 붙어 있었습니다.
여기까지 읽고 상황을 완전히 이해했습니다. MITM 도구 같은 것은 애초에 존재하지 않았으며, 제가 앞서 몇 번 클릭하여 실행해버린 CxxCxx pro activator.exe는 위장된 악성코드였던 것입니다.
제가 악성코드를 실행했다는 것을 알고 솔직히 상당히 당황했습니다. 하지만 무작정 Windows를 클린 설치하기 전에, 우선 AI와 REA를 사용해서 이 악성코드를 철저하게 리버스 엔지니어링하여 다음 4가지 점을 명확히 하는 것으로 했습니다.
- 왜 Windows Defender에 탐지되지 않고 빠져나갔는가?
- 구동된 후, 뒤에서 구체적으로 무엇을 했는가?
- 일반적인 앱처럼 폴더를 삭제하는 것만으로 PC 내에 무언가 남지 않았는가?
- 그리고 가장 중요한 점으로, PC 내부의 어떤 데이터를 노리고 있었는가?
AI와 REA로 Pro 폴더 안의 각 파일을 분석한 결과, 이 악성코드의 교묘한 움직임이 4단계의 과정으로 떠올랐습니다.
압축을 풀고 실행했을 때 Windows Defender가 전혀 반응하지 않은 것은, 공격자가 세 가지 위장술을 결합했기 때문이었습니다.
- 진짜 전자 서명을 보유함:
.exe 파일 악용(DLL Side-Loading)
제가 클릭한 CxxCxx pro activator.exe 자체에는 악의적인 코드는 전혀 포함되어 있지 않았습니다. 사실 이것은 대형 소프트웨어 기업인 Txxx-Txx Interactive가 발행한, 진짜 전자 서명이 붙은 Uxxxx 플랫폼의 정식 런처 파일이었습니다.
실행 파일 자체가 클린하고 유효한 서명을 가지고 있었기 때문에, Windows는 안전하다고 판단하여 그대로 실행을 허용해 버립니다. - 번들로 포함된: .dll 파일을 통해 악성코드가 심어졌고, 28개의 클린 파일이 이를 위장했습니다.
정상적인 .exe가 가동되면, Windows의 사양에 따라 같은 폴더에 있는 UxxxxPlayer.dll이 자동으로 로드됩니다. 공격자가 악의적인 코드를 숨겨 놓은 곳은 바로 이 .dll 파일이었습니다. 게다가 바이러스 백신 소프트웨어의 자동 스코어링(의심도 판정)을 속이기 위해, 폴더 내부에는 Microsoft나 Google의 진짜 전자 서명이 붙은 무해한 파일들도 채워져 있었습니다. 28개의 .dll 파일 -...
내부로의 악성코드 본체 은닉
악성코드 본체를 실행 파일 형태로 노출시키는 것이 아니라, UxxxxPlayer.dll이 같은 폴더 내의 manifest.json을 몰래 읽어 들입니다. 확장자가 .json이기 때문에 언뜻 보기에는 단순한 설정 파일처럼 보이지만, 내용은 암호화된 악성코드 덩어리였으며, 실행 시점에 이를 복호화하여 직접 RAM(메모리) 위에 전개했습니다.
처음에 CxxCxx pro activator.exe를 클릭했을 때 화면에 아무것도 나타나지 않았기 때문에, 저는 총 7번이나 더블클릭했습니다. REA 분석을 통해 바로 그 7번의 클릭이 일시적으로 디스크 사용률 100%를 일으킨 원인임이 밝혀졌습니다.
- 제가 클릭할 때마다, 악성코드는
C: extbackslash ProgramData\ 깊숙한 곳에 무작위 알파벳 7글자 이름의 폴더를 몰래 생성했습니다. - 각 폴더 안에는 Windows 표준 시스템 라이브러리인 windows.storage.dll을 awindows.storage.dll이라는 이름으로 복사하고, 그 내부에 복호화된 악성코드 코드를 심어 놓았습니다. - 이렇게 함으로써, 악성코드가 RAM 위에서 동작할 때 메모리 검사 도구에서는 'Windows의 정상 시스템 라이브러리가 작동하는 것'처럼 보이게 만듭니다. 7번 연속으로 클릭하면서 수십 MB에 달하는 라이브러리 그룹 복사 처리가 ProgramData 내에서 연달아 실행되면서, 디스크에 일시적인 과부하가 걸렸던 것입니다.
이것이 이번 악성코드에서 가장 놀라웠던 부분입니다. 다운로드한 폴더를 일반 앱처럼 삭제하는 것만으로는 이 악성코드가 전혀 사라지지 않았습니다.
일반적인 악성코드는 .exe 파일을 드라이브 내에 복사하여 Windows 부팅 시 자동 실행시키려고 하지만, 그 방식은 정기 스캔으로 쉽게 발견됩니다. 그래서 이 악성코드의 제작자는 분산 저장소 등에서 사용되는 리드-솔로몬(Reed-Solomon) 코딩이라는 데이터 분할 및 복원 알고리즘을 악용했습니다.
- 악성코드의 핵심 부분을 4개의 떨어진 데이터 조각 (확장자
.dat 및 .bin)으로 나눕니다. - 이 4개의 조각은 %LOCALAPPDATA% extbackslash Microsoft\ 아래에 있는 Microsoft 정상 서비스와 유사한 4개의 다른 폴더 (SyncServices, OneDriveStandalone, DeviceSync, Terminal Server Client)에 분산되어 숨겨져 있으며, 게다가 OneDriveSync를 가장한 자동 실행 레지스트리 키까지 등록합니다.
왜 이 '4분할 방식'이 위험한가요?
- 하드 디스크 상에는 악성코드 본체의. 떨어진 4개의
.exe 파일은 일절 존재하지 않습니다. .dat / .bin
파일은 단독으로 보면 그저 의미를 알 수 없는 바이트열에 불과하기 때문에, 백신 프로그램이 스캔해도 그냥 지나가 버립니다. - 리드-솔로몬 부호(Reed-Solomon code)의 특성상, 4개의 조각 중 2개만 남아 있어도 다음번에 PC를 켤 때 로더가 계산을 수행하여 RAM 상에서 원래 악성코드를 100% 완벽하게 복원해 버립니다. 설령 의심스러운 폴더를 하나나 두 개 발견해서 삭제했다고 하더라도, 나머지 2개의 조각만으로 아무 일도 없었던 것처럼 부활하는 구조였습니다.
AI가 분할된 조각들을 결합하여 내부 설정을 읽어내자, 이 악성코드의 정체는 **정보 탈취형 악성코드(Info-Stealer)**와 **원격 제어 도구(WebRTC RAT)**를 결합한 Olympic이라는 내부 명칭의 악성코드임이 밝혀졌습니다.
백그라운드에서 실행되어 C2 서버에 연결하면, PC 내에서 가장 기밀성이 높은 4가지 종류의 데이터를 표적으로 삼습니다.
- 브라우저 세션 쿠키 및 저장된 비밀번호 탈취 (
client-recovery)
PC 내 브라우저(Chrome, Edge, Brave, Firefox 등)에 저장된 모든 비밀번호, 자동 완성 데이터(신용카드 정보 등), 그리고 무엇보다도 **세션 쿠키(Session Cookies)**를 회수합니다. 비밀번호 유출보다 더 위험한 것이 바로 이 세션 쿠키입니다. 로그인 상태의 쿠키가 탈취되면, 공격자는 비밀번호를 알 필요조차 없고, 2단계 인증(2FA/OTP)도 우회할 수 있습니다. 훔친 쿠키를 공격자의 브라우저에 불러들이는 것만으로, 로그인 중인 Gmail, Facebook, GitHub, Discord, 각종 지갑 등에 그대로 침입할 수 있게 됩니다.
- 화면 실시간 감시 및 백그라운드 은밀 조작 (
screen-viewer & hidden-desktop)
WebRTC 프로토콜을 사용하여 피해자의 PC 화면을 실시간으로 공격자에게 스트리밍 전송합니다. 더욱 무서운 기능은 Hidden Desktop입니다. 피해자의 PC 내부에 '보이지 않는 가상 데스크톱 화면'을 뒤에서 띄워, 피해자 본인의 PC와 IP 주소를 이용해 마음대로 브라우저를 열거나, 계정 조작이나 송금을 할 수 있습니다. 그동안 메인 화면으로 작업하고 있는 본인은 마우스 커서가 움직이는 것조차 알아채지 못합니다.
- 디스크 파일 탐색, 클립보드 도청, 키로거 (
file-manager, clipboard, input-logger)
공격자는 원격에서 하드 디스크 내부를 자유롭게 탐색하며 회사 기밀 업무 파일, 프로젝트 소스 코드, .env 설정 파일, SSH 비밀키, 신분증 이미지 등을 다운로드할 수 있습니다. 또한, 브라우저에 비밀번호를 저장하지 않고 직접 입력하거나, 패스워드 매니저에서 복사(Ctrl+C)하여 붙여넣기 해도 키로거와 클립보드 감시 기능에 의해 모두 읽혀버립니다.
- 위치 정보 특정 및 디바이스 프로파일 수집 (
device-profile)
연결 직후, 실제 IP 주소, 통신사 정보, 지리적 위치 정보(도/광역시/군구, 위도・경도), 하드웨어 구성, 설치된 소프트웨어 목록, 심지어 OneDrive(개인용·법인용) 계정 정보까지 C2 서버로 전송합니다. 공격자는 이 프로파일을 보고 개인 PC인지 기업 업무용 PC인지를 즉시 판별하여, 추가적인 공격을 가할지 여부를 판단하게 됩니다.
탈취 도구를 RAM에 직접 로드하는 교묘한 수법:
처음부터 비밀번호 읽기 기능을 탑재하면 백신 프로그램에 감지되기 쉬우므로, PC 내부에 놓이는 악성코드 본체는 '중계 역할'을 하는 최소한의 구성으로 만들어져 있습니다. C2 서버와의 연결이 확립된 후에야 비로소, 비밀번호 탈취용이나 키로거용 모듈을 다운로드하며, 하드디스크에는 일절 저장하지 않고 RAM 위에서 직접 실행하는 구조였습니다.
악성코드에 감염되어 시스템 폴더 곳곳에 흩어져 있는 형태로 분할된 악성코드를 만난 경우, 일반적으로는 Windows를 통째로 재설치하는 것이 안전을 확보할 수 있는 유일한 방법입니다. 하지만 이번에는 AI + REA 덕분에 악성코드가 생성한 파일 경로, 폴더 이름, 레지스트리 키를 모두 정확하게 특정할 수 있었고, 단 몇 분 만에 완전히 클린업 할 수 있었습니다.
- 자동 실행 레지스트리 및 설정 정보 삭제: Windows 부팅 시 실행되는 가짜
OneDriveSync 키를 삭제하고, 악성코드의 설정이나 식별 ID가 저장되어 있던 레지스트리 트리(OlympicProject, DesktopStreamClient)를 완전히 제거했습니다. - リード・ソロモン符号의 4개 조각 동시 삭제: %LOCALAPPDATA%\Microsoft\에 접근하여, 파편이 숨겨져 있던 네 곳( SyncServices, OneDriveStandalone, DeviceSync, 그리고 Terminal Server Client 내부의 숨김 파일)을 모두 동시에 삭제하여 자가 복구 수단을 완전히 차단했습니다. - 위장된 C:\ProgramData\ 내 7개 숨김 폴더 삭제: awindows.storage.dll이 들어있는 무작위 7글자 폴더를 모두 삭제하고, 그 결과 260 MB 이상의 여유 공간을 되찾았습니다. - Windows 방화벽으로 C2 서버 IP 차단: 만약을 대비하여, C2 서버의 두 개의 IP 주소에 대한 아웃바운드(송신) 통신을 방화벽으로 완전히 차단했습니다.
첫 번째 샘플을 제거한 후, 또 다른 Reddit 링크에서 다운로드했던 두 번째 패키지(Setup_Installer.exe)가 남아있다는 것을 떠올렸습니다. 다행히 이 파일은 아직 단 한 번도 실행되지 않았습니다. 두 개의 링크가 같은 범죄 그룹에 의한 것인지 궁금해진 저는, 계속해서 AI와 REA를 이용해 Setup_Installer.exe를 정적 분석(Static Analysis) 해보았습니다.
그 결과에는 다시 식은땀을 흘렸습니다. 이것은 첫 번째 것과는 완전히 다른 계통의 악성코드였으며, 시스템에 대한 파괴력은 제가 실행했던 첫 번째보다 훨씬 더 흉악했습니다.
이 악성코드의 동작 흐름은 다음 4단계로 구성되어 있었습니다.
바이러스 백신 소프트웨어의 탐지를 우회하고 엔지니어의 코드 분석을 막기 위해, Setup_Installer.exe에는 삼중 보호(Triple Protection)가 적용되어 있었습니다.
- 인스톨러 외장과 21개의 더미 파일: 외관은 일반적인 소프트웨어 인스톨러로 패키징되었으며, 가짜 전자 서명 인증서(
NxxxIxxxxxxxxxx Technologies)가 부여되어 있었습니다. 게다가 동봉된 Config/ 폴더에는 내용물이 수만 개의 널 바이트(Null Bytes, 0x00)로 채워진 21개의 가짜 데이터베이스 파일이 들어있어, 바이러스 백신 소프트웨어의 스캔 시 의심도 점수를 낮추는 미끼로 사용되었습니다. - 백그라운드 전개 및 RAM 상 복호화: 실행되면 임시 폴더(%TEMP%)에 백그라운드 앱을 은밀하게 전개하고, 암호화된 데이터 파일(runtime5a13.dat)을 읽어와 직접 RAM 위에 펼칩니다. - 변조 감지 기반의 자가 방어 기능: 암호화 레이어 내부에는 매우 까다로운 자가 방어 메커니즘이 내장되어 있었습니다. 실행 전에 자신 자신의 코드가 수정되지 않았는지, 혹은 분석용 모니터링 도구(Hook)가 설치되어 있지 않은지를 스스로 점검합니다. 만약 한 글자라도 변조를 감지하면, 복호화 키가 자동으로 틀어지고 내부의 코드는 모두 의미 없는 쓰레기 데이터로 바뀌는 구조입니다. AI는 이 일관성 검사(Consistency Check)를 속이기 위한 가상 환경을 구축함으로써, 악성코드 스스로에게 코드를 복호화하게 만들고 내부 동작을 전부 밝혀냈습니다.
만약 실수로 이 Setup_Installer.exe를 실행해 버린다면, 단 몇 초 만에 다음 처리가 실행됩니다.
- 관리자 권한(UAC) 요청: 시작하자마자 Windows의 UAC 대화 상자를 표시하며 관리자 권한(
Run as Administrator)을 요구합니다. 사용자 자신이 Setup_Installer.exe
사용자의 의지로 '설치 프로그램(Setup Installer)'이라는 이름의 파일을 열자마자, 대부분의 사람들은 아무 의심 없이 **'예(Yes)'**를 누르게 됩니다. -
PC 전체 Windows Defender 무력화: 관리자 권한을 획득하는 순간, 백그라운드에서 PowerShell을 실행하여 Windows Defender에 예외 설정을 추가합니다. 가장 위험한 코드는 다음 두 줄입니다. 이는 defender_blindfold.ps1 파일의 내용으로,
Add-MpPreference -ExclusionExtension '.exe' -ErrorAction SilentlyContinue; Add-MpPreference -ExclusionExtension '.tmp' -ErrorAction SilentlyContinue;
이 명령어는 PC 내 모든 파일을 대상으로 합니다. 이 순간부터 Windows 표준 바이러스 백신 기능은 완전히 눈가림(blindfold)된 상태가 됩니다. .exe 파일과 .tmp 파일을 Windows Defender의 스캔 대상에서 제외하는 것입니다. -
최종 단계 악성코드 다운로드 및 은밀 실행: Windows Defender가 무력화된 상태에서, C2 서버로부터 본체 악성코드(payload.exe)를 임시 폴더에 다운로드하고, Windows 표준 시스템 도구를 악용하여 백그라운드에서 기동합니다. -
화면 캡처 전송 및 증거 인멸: 마지막으로, PC의 전체 화면 스크린샷을 촬영하여 IP 주소와 함께 C2 서버로 전송하고, 임시 폴더 내 설치 프로그램 일체를 스스로 삭제하는 스크립트를 실행하며 흔적을 지웁니다. 화면을 보는 사용자에게는 '아무 일도 일어나지 않았다(설치 프로그램이 오류로 종료되었다)'처럼 보일 뿐, 백그라운드에서 감염이 완료된 것을 알아차리기 어렵습니다.
| 비교 항목 | 검체 #1: CxxCxx pro activator.exe (실행한 것) |
|---|
| 주요 목적 | 화면 원격 감시/조작 및 계정 정보 탈취(WebRTC RAT) |
| 탐지 회피 수법 | 실제 서명된 .exe 악용 + 28개의 정규 .dll 파일 |
| 실행 시 권한 | 일반 사용자 권한으로 동작 (UAC 대화 상자 미표시) |
| Windows Defender 간섭 | 설정을 변경하지 않고, RAM상 실행 및 파일 분할로 회피 |
| 잠복/지속성 메커니즘 | 4개의 데이터 조각으로 분할하여 Microsoft 폴더 아래 잠복 (자동 복원) |
악성코드를 완전히 제거한 후에도 가장 신경 쓰였던 부분은 '첫 번째 악성코드가 백그라운드에서 작동하는 동안, 브라우저의 비밀번호나 쿠키는 이미 빼앗긴 것은 아닐까?' 하는 점이었습니다. AI와 REA를 사용하여 시스템 로그를 자세히 조사한 결과, 세 가지 행운이 겹치면서 제 데이터가 안전하게 보호받고 있었음이 확인되었습니다.
최신 브라우저의: 새로 설정된 저의 환경에서는, 브라우저 쿠키나 비밀번호가 모두 Chromium의 최신 규격인 v20 (App-Bound Encryption)으로 암호화되어 있었습니다. 이 규격은 복호화 권한이 시스템 레벨(SYSTEM)에 강력하게 묶여 있습니다. 첫 번째 악성코드는 의심받지 않기 위해 UAC 없이 일반 사용자 권한으로 동작했기 때문에, 이 v20 데이터를 스스로 복호화할 수 없었습니다. -
Windows 실행 기록: Windows 커널이 기록하는 파일 접근 기록을 대조 분석한 결과, 악성코드 프로세스는 어떤 브라우저 폴더에도 단 한 번도 접근하지 않았으며, 브라우저 복호화 서비스(Prefetch)를 통해 브라우저 미접근 상태임을 확인했습니다.
）도 전혀 호출되지 않았습니다.
로컬 브라우저 'Cốc Cốc'을 사용한 예상치 못한 행운: 제 PC에서는 Chrome이나 Edge에 비밀번호를 일절 저장해 두지 않았고, 모든 것을 Cốc Cốc이라는 브라우저에 저장하고 있었습니다. Cốc Cốc은 베트남 국내에서 매우 널리 사용되는 대표적인 브라우저이지만, 전 세계 점유율로 보면 당연히 Chrome에 미치지 못합니다. 이것이 예상치 못한 행운으로 작용했습니다. 해외에서 제작된 이 악성코드 내부에 하드코딩되어 있던 '18개 표적 브라우저' 목록에 Cốc Cốc의 경로는 전혀 포함되어 있지 않았던 것입니다. 게다가 공격자의 C2 서버 측에서 추가적인 비밀번호 탈취 모듈을 배포하는 URL이 그 시점에서 404 에러가 발생하고 있었던 것도 겹치면서, 제 계정 정보는 완벽하게 무사했습니다.
돌아보며 소름 돋았던 점:
만약 그날 두 번째 파일(Setup_Installer.exe)을 먼저 실행하여 UAC(사용자 계정 컨트롤) 대화 상자에서 '예'를 눌렀다면, 관리자 권한이 탈취되고 Windows Defender까지 비활성화되었기 때문에, 브라우저의 v20 보호조차 돌파당했을 가능성이 매우 높았다고 생각합니다.
이번 식은땀 나는 경험을 통해 여러분들께도 꼭 주의해 주셨으면 하는 4가지 포인트를 정리했습니다.
- Google, Reddit, GitHub상의 'Crack / Activator'는 절대 신뢰하지 마세요: 최근 악성코드 배포 수법은 매우 교묘합니다. SEO(검색 엔진 최적화)를 통해 Google 검색의 1페이지에 노출시키고, 가짜 계정으로 '작동했다!'라는 댓글을 달며 게시 일시를 항상 최신으로 업데이트하고, 나아가
JavaScript 98%와 같이 표시되는 가짜 리포지토리나 비밀번호가 포함된 압축 파일(.rar/.zip)을 사용해 바이러스 검사를 우회합니다.
- OS나 소프트웨어는 항상 최신 버전으로 업데이트하세요: 업데이트에는 매우 중요한 보안 패치가 포함되어 있습니다. 예를 들어 최근에도 PHP에서 매우 위험한 취약점이 발견되었고, 구형 버전은 속속 원격으로 권한을 탈취당할 위험에 노출되었지만, 새로운 버전에서는 이미 수정되어 있었습니다. 제 PC에서도 브라우저를 최신 상태로 유지하고 있었기 때문에 보호가 활성화되어 쿠키나 비밀번호 유출을 막을 수 있었습니다.`}**
