악성 캠페인이 GitHub에 가짜 저장소를 만들어 LastPass 등 유명 소프트웨어 40개 이상의 브랜드를 사칭하고, 'Rapuncel'이라는 새로운 정보 탈취형 악성코드를 배포하고 있습니다. 피해자가 가짜 저장소에서 소프트웨어를 내려받으면, 마이크로소프트가 서명한 커널 드라이버가 설치되어 백신 및 EDR(엔드포인트 탐지·대응) 제품 145종을 강제 종료시킵니다. 이후 Rapuncel이 실행되어 25개 웹브라우저의 저장 비밀번호, 30개 암호화폐 지갑, Discord·Steam·Telegram 세션 정보 등을 훔쳐 외부 서버로 전송합니다. 특히 이 드라이버는 현재 마이크로소프트의 취약 드라이버 차단 목록에 등재되어 있지 않아 탐지가 매우 어렵습니다. 공식 홈페이지 외의 경로로 소프트웨어를 내려받지 않도록 각별히 주의해야 합니다.
SEO(검색 엔진 최적화)로 상위 노출된 가짜 GitHub 저장소가 LastPass 등 40개 이상 브랜드를 사칭하여 Rapuncel 인포스틸러(정보 탈취 악성코드)와 EDR 무력화 커널 드라이버를 함께 배포하는 캠페인이 진행 중이다.
백신·EDR 145종 강제 종료, 웹브라우저 25종의 자격증명, 암호화폐 지갑 30종, Discord·Steam·Telegram 세션, Windows 자격 증명 관리자 내용, 스크린샷, 시스템 정보가 유출되며, Chrome·Edge의 앱 바운드 암호화도 우회된다.
마이크로소프트 서명을 획득한 Alinubx.sys 커널 드라이버가 PPL(Protected Process Light) 보호를 우회하여 보안 프로세스를 커널 권한으로 종료하며, 현재 MS 취약 드라이버 차단 목록에 미등재 상태이다.
LastPass와 Delphos Labs가 캠페인을 공개했으며, 공식 웹사이트에서만 소프트웨어를 내려받고, 의심스러운 GitHub 저장소 및 Google 검색 광고·프로모션 결과를 차단할 것을 권고한다.
Microsoft 서명 드라이버도 EDR을 무력화할 수 있으므로 드라이버 허용 정책을 재검토하고, 공급망 다운로드 경로를 공식 도메인으로 제한해야 한다. GitHub 저장소 출처 검증 프로세스 수립도 필요하다.
본문
지속적인 악성코드 캠페인이 SEO(검색 엔진 최적화)에 최적화된 GitHub 저장소를 활용해 유명 소프트웨어 기업을 사칭하며, 이전까지 알려지지 않은 'Rapuncel'이라는 정보 탈취형 악성코드를 배포하고 있다.
LastPass와 Delphos Labs가 해당 캠페인을 발견했으며, 캠페인은 패스워드 관리자 브랜드인 LastPass와 최소 39개의 다른 기업을 사칭하는 것으로 보고됐다.
Rapuncel 인포스틸러와 함께 해당 저장소는 145개의 백신 및 EDR(엔드포인트 탐지·대응) 제품을 비활성화할 수 있는 마이크로소프트 서명 커널 드라이버도 함께 배포한다.
공격은 피해자가 LastPass Authenticator나 다른 인기 소프트웨어를 검색하여 가짜 GitHub 저장소 링크를 클릭하는 것으로 시작된다.
저장소에서 다운로드 버튼을 클릭하면 일련의 리디렉션이 발생하고 최종적으로 페이로드 배포 서버에 도달하게 되며, 피해자는 보안 검사를 회피하기 위해 용량이 최대 148MB까지 부풀려진 ZIP 압축 파일을 내려받게 된다.
압축 파일 내부의 설치 프로그램은 정상적인 Microsoft Visual Studio CoreCLR Debugger인 'vsdbg.exe'를 복사하여 이름을 바꾸고 악성 DLL(vsdbg.dll)을 사이드로딩(side-loading)하도록 구성한 것이다. 설치 프로그램은 Rapuncel 인포스틸러와 함께 백신 소프트웨어를 종료하는 데 사용되는 Alinubx.sys 커널 드라이버를 배포한다.
악성 GitHub 페이지
출처: LastPass
해당 커널 드라이버는 'nvfsflt64.sys'라는 이름의 NVIDIA 컴포넌트로 위장하며 NvFsFilter 서비스로 등록된다.
연구진에 따르면, 이 드라이버는 145개의 백신 및 EDR 프로세스가 하드코딩된 목록을 보유하고 해당 프로세스들을 종료하는 EDR 킬러로 동작한다.
"드라이버는 AccessMode=KernelMode로 ObOpenObjectByPointer를 호출하는데, 이는 핸들 열기 시 일반적인 사용자 모드의 SeAccessCheck 경로를 우회한다"고 LastPass는 설명한다.
"드라이버는 커널 코드로서 프로세스를 열도록 커널에 요청한 뒤 이를 종료한다. 이것이 바로 많은 보안 제품들이 관리자 권한으로부터 살아남기 위해 의존하는 PPL(Protected Process Light, 보호 프로세스 경량화) 보호를 무력화할 수 있는 이유다."
현재 해당 드라이버는 마이크로소프트의 취약 드라이버 차단 목록에 등재되어 있지 않으며, 캠페인에 사용된 드라이버는 마이크로소프트의 Windows Hardware Compatibility Publisher 체인을 통해 서명된 것이다.
연구진은 Alinubx.sys에 파일 및 레지스트리 숨기기, DLL 인젝션, 드라이버·프로세스 가로채기, 트래픽 조작, 포트 리디렉션 등 추가 기능이 포함되어 있지만, 이번 캠페인에서는 활성화된 것으로 보이지 않는다고 밝혔다.
Rapuncel 인포스틸러
기기에서 보안 소프트웨어가 종료되면 Rapuncel 인포스틸러가 감염된 기기에서 데이터 탈취를 시작한다.
해당 악성코드는 다음 정보를 수집한다:
- 25개 웹브라우저에 저장된 자격증명
- 30개 암호화폐 지갑 데이터
- Discord, Steam, Telegram 세션 자격증명
- Windows 자격 증명 관리자 내용
- "password", "seed", "wallet", "recovery" 등의 단어가 포함된 이름의 문서
- 연결된 모든 모니터의 스크린샷
- 상세한 시스템 정보
Chrome, Edge 및 관련 브라우저에 적용된 구글의 앱 바운드 암호화(app-bound encryption) 보호를 우회하기 위해 Rapuncel은 헬퍼 DLL을 해당 앱에 인젝션하고 자체 Elevation Service를 호출한다.
탈취된 정보는 압축된 후 원시 TCP를 통해 HTTP 형식의 요청으로 '2.26.126[.]50'의 외부 엔드포인트에 업로드된다.
Rapuncel은 Windows 서비스를 통해 재부팅 후에도 지속되므로, 재활성화되는 보안 도구는 인포스틸러가 실행되기 전에 다시 종료된다.
LastPass와 Delphos Labs는 Rapuncel이 BoryptGrab의 변종일 가능성이 중간 정도라고 평가했으며, 로더가 Cruciferra PUROSANGUE 크립터(crypter)로 빌드되었다는 점도 발견했다.
사용자들은 공식 웹사이트에서만 소프트웨어를 내려받고, 의심스러운 GitHub 저장소를 피하며, Google 검색의 프로모션·광고 결과를 건너뛰거나 차단할 것을 권고받고 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
