PDF 또는 DOC 문서로 위장...감염 PC에서 정보수집, 키로깅, 화면 캡처 등 공격
악성코드 감염 이후에도 감염 사실 인지 어려워 사용자 주의 필요
[보안뉴스 김영명 기자] 최근 ‘고스트랫(Gh0st RAT)’의 변종인 ‘슈가고스트랫(SugarGh0st RAT)’ 악성코드가 한국과 우즈베키스탄을 대상으로 유포된 정황이 발견됐다. 해당 악성코드는 PDF 또는 DOC 문서로 위장한 링크(LNK) 파일로 유포되고 있다. 해당 파일을 실행하면 미끼 문서를 띄워 정상 파일인 것처럼 사용자를 속인 후, 감염된 PC에서 정보 수집, 키로깅, 화면 캡처 및 리버시 쉘 등을 포함한 다양한 공격을 수행한다.
잉카인터넷 시큐리티대응센터는 슈가고스트랫 악성코드에 대해 분석하며, 한국어 또는 우즈베크어로 작성된 미끼 문서를 띄워 정상 파일인 것처럼 사용자를 속이고, 백그라운드에서 악성 동작을 수행한다고 분석했다.
문서로 위장한 링크 파일은 TEMP 폴더에 자바 스크립트 파일을 드롭하고 실행한다. 자바 스크립트는 난독화가 적용돼 있으며 인코딩된 미끼 문서, DLL 파일 및 ‘SugarGh0st’ 페이로드를 포함하고 있다. 인코딩된 데이터를 디코딩한 후, ‘ctfmon.bat’ 및 ‘rundll32.exe’ 파일과 함께 TEMP 폴더에 드롭한다.
‘ctfmon.bat’ 파일을 실행하면, ‘rundll32.exe’를 사용해 ‘MSADOCG.DLL’의 DllUnregisterServer’ 함수를 호출한다. 호출된 함수는 함께 드롭된 ‘DPLAY.LIB’ 파일을 읽어 메모리에 로드한다. ‘DPLAY.LIB’ 파일에는 인코딩된 ‘SugarGh0st’ 페이로드가 포함돼 있으며, 디코딩 후 PE 포맷의 페이로드를 메모리에 매핑하고 실행한다.
‘SugarGh0st’ 페이로드는 먼저 사용자의 키보드 입력을 모니터링하고 파일에 기록하는 키로깅 동작을 수행한다. 또한 감염된 PC에서 △컴퓨터 이름 △운영체제 정보 △메모리 정보 △캡처 드라이버 정보 △루트 디렉터리 및 볼륨 정보 △레지스트리 키 HKLM￦Software￦ODBC￦H 등 목록을 대상으로 시스템 정보를 수집한다. 그 이후 명령제어(C&C) 서버에 연결해 수집한 정보를 전송하고, 서버의 추가 명령을 기다린다.
서버로부터 명령어를 수신하면, 명령 코드에 따라 △0x20000001 시스템 종료 △0x20000002 시스템 재부팅 △0x20000003 프로세스 종료 △0x20000004 이벤트 로그 삭제 △0x20000011 키보드 입력 △0x20000012~0x20000019 마우스 컨트롤 △0x21000000 파일 정보 수집 및 수정 △0x22000001 스크린샷 △0x23000000 리버스 쉘 △0x24000001 ~temp.dat 파일 읽기 및 삭제 △0x25000000 프로세스 정보 수집 및 종료 △0x25000003 서비스 목록 수집, 실행 및 종료 △0x25000010 열려 있는 창 정보 수집 △0x28000000 화면 녹화 △0x28000002 OLE 파일 검색 및 실행 등 다양한 동작을 수행한다.
잉카인터넷 관계자는 “슈가고스트랫 악성코드는 문서 파일로 위장해 사용자의 방심을 유도하고, 실행된 후에도 감염 사실을 인지하기 어려워 주의가 필요하다”며 “출처가 불분명한 파일의 다운로드 및 실행을 지양하고, 보안 프로그램과 OS를 항상 최신 버전으로 유지할 것을 권고한다”고 밝혔다.
[김영명 기자(boan@boannews.com)]
악성코드 감염 이후에도 감염 사실 인지 어려워 사용자 주의 필요
[보안뉴스 김영명 기자] 최근 ‘고스트랫(Gh0st RAT)’의 변종인 ‘슈가고스트랫(SugarGh0st RAT)’ 악성코드가 한국과 우즈베키스탄을 대상으로 유포된 정황이 발견됐다. 해당 악성코드는 PDF 또는 DOC 문서로 위장한 링크(LNK) 파일로 유포되고 있다. 해당 파일을 실행하면 미끼 문서를 띄워 정상 파일인 것처럼 사용자를 속인 후, 감염된 PC에서 정보 수집, 키로깅, 화면 캡처 및 리버시 쉘 등을 포함한 다양한 공격을 수행한다.
▲한국어와 우즈베크어로 작성된 미끼 문서로 정상 파일인 것처럼 속이는 모습[자료=잉카인터넷]
잉카인터넷 시큐리티대응센터는 슈가고스트랫 악성코드에 대해 분석하며, 한국어 또는 우즈베크어로 작성된 미끼 문서를 띄워 정상 파일인 것처럼 사용자를 속이고, 백그라운드에서 악성 동작을 수행한다고 분석했다.
문서로 위장한 링크 파일은 TEMP 폴더에 자바 스크립트 파일을 드롭하고 실행한다. 자바 스크립트는 난독화가 적용돼 있으며 인코딩된 미끼 문서, DLL 파일 및 ‘SugarGh0st’ 페이로드를 포함하고 있다. 인코딩된 데이터를 디코딩한 후, ‘ctfmon.bat’ 및 ‘rundll32.exe’ 파일과 함께 TEMP 폴더에 드롭한다.
‘ctfmon.bat’ 파일을 실행하면, ‘rundll32.exe’를 사용해 ‘MSADOCG.DLL’의 DllUnregisterServer’ 함수를 호출한다. 호출된 함수는 함께 드롭된 ‘DPLAY.LIB’ 파일을 읽어 메모리에 로드한다. ‘DPLAY.LIB’ 파일에는 인코딩된 ‘SugarGh0st’ 페이로드가 포함돼 있으며, 디코딩 후 PE 포맷의 페이로드를 메모리에 매핑하고 실행한다.
▲슈가고스트 페이로드 디코딩 화면[자료=잉카인터넷]
‘SugarGh0st’ 페이로드는 먼저 사용자의 키보드 입력을 모니터링하고 파일에 기록하는 키로깅 동작을 수행한다. 또한 감염된 PC에서 △컴퓨터 이름 △운영체제 정보 △메모리 정보 △캡처 드라이버 정보 △루트 디렉터리 및 볼륨 정보 △레지스트리 키 HKLM￦Software￦ODBC￦H 등 목록을 대상으로 시스템 정보를 수집한다. 그 이후 명령제어(C&C) 서버에 연결해 수집한 정보를 전송하고, 서버의 추가 명령을 기다린다.
서버로부터 명령어를 수신하면, 명령 코드에 따라 △0x20000001 시스템 종료 △0x20000002 시스템 재부팅 △0x20000003 프로세스 종료 △0x20000004 이벤트 로그 삭제 △0x20000011 키보드 입력 △0x20000012~0x20000019 마우스 컨트롤 △0x21000000 파일 정보 수집 및 수정 △0x22000001 스크린샷 △0x23000000 리버스 쉘 △0x24000001 ~temp.dat 파일 읽기 및 삭제 △0x25000000 프로세스 정보 수집 및 종료 △0x25000003 서비스 목록 수집, 실행 및 종료 △0x25000010 열려 있는 창 정보 수집 △0x28000000 화면 녹화 △0x28000002 OLE 파일 검색 및 실행 등 다양한 동작을 수행한다.
잉카인터넷 관계자는 “슈가고스트랫 악성코드는 문서 파일로 위장해 사용자의 방심을 유도하고, 실행된 후에도 감염 사실을 인지하기 어려워 주의가 필요하다”며 “출처가 불분명한 파일의 다운로드 및 실행을 지양하고, 보안 프로그램과 OS를 항상 최신 버전으로 유지할 것을 권고한다”고 밝혔다.
[김영명 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김영명기자 기사보기
[2025-03-12] 
