잉카인터넷 시큐리티대응센터 블로그

2025년 3월 말, 사용자 PC의 웹 브라우저 데이터와 시스템 정보 등을 탈취하는 새로운 정보 탈취 악성코드인 SvcStealer가 발견됐다. 이 악성코드는 웹 브라우저 데이터를 포함한 암호화폐 지갑 정보와 Telegram 또는 Discord 등의 메신저 프로그램의 정보뿐만 아니라 설치된 프로그램의 정보까지 수집해 공격자의 C&C 서버로 전송한다. 정보 탈취 이후 공격자의 C&C 서버에서 ClipBanker를 다운로드하는데 이는 클립보드의 데이터를 변경하는 악성코드로 사용자가 암호화폐를 거래할 때 지갑 주소를 복사할 경우 지정된 주소로 변경돼 공격자에게 송금하게 된다.  SvcStealerSvcStealer를 실행하면 수집한 데이터를 저장할 폴더를 생성한 뒤 작업 관리자 등의 프로세스 모니터링 도구를 ..

메모리 패치를 이용해 보안 소프트웨어의 탐지를 회피하는 SweatRAT 악성코드가 발견됐다. 해당 악성코드는 윈도우 이벤트 기록 함수 EtwEventWrite와 AMSI(Antimalware Scan Interface) 관련 함수 AmsiScanBuffer의 시작 코드를 수정해 탐지를 우회한다. 또한, SweatRAT는 프로세스 할로잉을 이용해 정상 프로세스로 위장한 후 공격자가 운영하는 C&C 서버와 통신해 키로깅, 원격 제어 및 추가 파일 실행 등의 동작을 수행한다. 동작 순서SweatRAT은 파이썬 스크립트를 PyInstaller로 패키징한 실행 파일인 “_OneDrive.exe”로 유포되며 실행 시 파일 내부에 저장된 PE 데이터를 디코딩한 후 .NET Assembly로 실행한다. 이후, 시작 프..