DarkMe라는 악성 프로그램(원격으로 피해자 PC를 조종하고 정보를 훔치는 RAT 계열 악성코드)이 이번에는 제로데이(패치가 없는 취약점) 없이 단순한 이메일 링크만으로 유포되고 있습니다. 공격자는 피해자에게 PNG 이미지처럼 보이는 링크를 보내지만, 실제로는 Windows 실행 파일(.pif)이 다운로드됩니다. 파일을 더블클릭하면 일련의 악성 코드 실행 과정을 거쳐 최종적으로 암호화폐 지갑 탈취와 화면 캡처가 가능한 DarkMe가 설치됩니다. 기존에는 외환·암호화폐 거래자를 집중 공략했지만, 이번에는 일반 기업 직원까지 대상이 넓어졌습니다. 보안 업체 Huntress는 침해지표(IoC)를 공개하고 탐지·격리·정리 방법을 안내하고 있습니다.
DarkMe RAT이 이미지로 위장한 .pif 실행 파일을 이메일 링크로 배포하는 피싱 캠페인이 확인됐다. Huntress 고객 2곳의 환경에서 동일한 바이너리가 발견됐다.
감염 시 암호화폐 지갑 탈취, 화면 캡처, 브라우저·비밀번호 관리자·거래 단말 등 329개 애플리케이션 대상 정보 수집이 이뤄진다. 표적이 기존 외환·암호화폐 트레이더에서 일반 기업 직원으로 확대됐다.
사용자가 이메일 링크를 클릭해 .pif 파일을 내려받아 실행한다. Windows는 .pif 파일을 아이콘·확장자와 관계없이 프로그램으로 실행하므로 사용자가 이미지로 오인하기 쉽다.
Huntress가 침해지표(IoC)와 탐지·격리·제거 방법을 공개했다. `rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B}` 커맨드를 탐지 시그니처로 활용할 수 있다.
출처 불명 이메일의 링크·첨부파일 클릭을 금지하는 보안 인식 교육이 여전히 가장 효과적인 방어책이다. .pif 확장자 파일의 실행을 정책으로 차단하고, 공개된 IoC를 EDR·SIEM에 즉시 등록해야 한다.
본문
DarkMe는 금융 시장 트레이더와 암호화폐 사용자를 표적으로 삼았던 위협 그룹과 연관된 원격 접근 트로이목마(RAT) 겸 정보 탈취 악성코드로, 다시 발견됐다.
이번에는 배포 방식이 단순화됐다. 제로데이 취약점 악용 대신 공격자들은 단순한 이메일 하나로 대상자가 직접 실행하도록 유도하는 방식에 승부를 걸고 있다.
DarkMe의 1단계 다운로더를 가리키는 악성 이메일 (출처: Huntress)
링크는 겉으로 PNG 파일을 가리키는 것처럼 보이지만, 클릭하면 Windows 실행 파일인 image.pif 다운로드가 시작된다.
가짜 이미지 파일에서 본격적인 RAT까지
자체 보안 소프트웨어와 24시간 상시 운영 인력 기반 SOC(보안관제센터)를 결합한 사이버보안 기업 Huntress는 동일한 바이너리가 고객사 2곳의 환경에 배포됐다고 밝혔다.
"사용자들은 그것이 무엇인지 인식하지 못한 채 파일을 더블클릭해 내려받았습니다"라고 언급했다. "현대 Windows 시스템은 .pif 파일을 확장자가 의미하는 것(또는 아이콘이 보여주는 것)과 무관하게 프로그램으로 실행합니다."
실행이 시작되면 추가적인 다운로드 및 실행, 스크립트 구동, 구성 요소 배포, DLL 호출, 코드 인젝션으로 이어지는 연쇄 과정이 펼쳐진다.
"최종 감염 단계를 시작하는 커맨드인 rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B} 는 2024년 캠페인에서도 관측됐으며, 탐지 또는 위협 헌팅에 활용할 수 있는 훌륭한 시그니처입니다"라고 분석가들은 지적했다.
이후 최종 로더 체인은 시스템에서 다양한 애플리케이션의 존재 여부를 확인한다. Slack, Discord, Zoom, WhatsApp, 비밀번호 관리자, 거래 단말, 온라인 포커 클라이언트, 암호화폐 지갑, VPN 클라이언트, 게임 런처, Spotify, 브라우저, PDF 리더, 그리고 OEM 및 주변기기 지원 유틸리티까지 포함된다.
"마지막 카테고리가 전체 목록을 새롭게 해석하게 만듭니다. 게이밍 마우스 설정 유틸리티나 RGB 조명 데몬은 아무런 가치가 없지만, 이 컴퓨터를 실제 사람이 사용하고 있다는 것을 증명해 줍니다"라고 분석가들은 설명했다.
"329개 중 아무것도 발견되지 않으면 실행이 중단됩니다. 이것은 표적 목록이 아니라 역방향 샌드박스 탐지 수단입니다. 일반적인 회피 기법은 분석 도구를 찾아 발견되면 종료하지만, 이 목록에는 분석 도구가 하나도 없습니다. DarkMe는 '내가 감시당하고 있는가?'를 묻는 대신 실제로 누군가 이 시스템을 사용하고 있는지를 확인합니다."
그런 다음 지속성 확보를 위한 레지스트리 값 생성, 시스템 프로파일링, 프로세스 홀로잉(process hollowing), 그리고 최종 페이로드가 이어진다. Visual Basic 6으로 제작된 RAT 겸 정보 탈취 악성코드인 DarkMe는 암호화폐 지갑을 노리고 화면 캡처도 수행한다.
이 공격의 배후는 누구인가?
Huntress의 주임 위협 인텔리전스 사고 담당자인 Andrew Brandt는, 이번 공격이 Trend Micro 및 SonicWall이 기록한 2024년 공격과 연관된 위협 그룹 Water Hydra(일명 DarkCasino)에 의해 수행됐다고 확인할 수 없다고 밝혔다.
"악성코드의 가능한 출처에 대한 몇 가지 단서가 있습니다. 예를 들어, 컴파일된 DLL의 스페인어 로컬라이제이션 속성은 개발자가 스페인 국적이거나 스페인에 거주하고 있을 가능성을 시사합니다"라고 그는 언급했다.
"동기 측면에서 보면 이 활동은 금전적 목적으로 보이지만, 공격자들은 Roblox Robux나 Steam 및 Epic Games 등록 키 같은 것을 위해 어린이를 표적으로 삼는 것도 마다하지 않는 것 같습니다."
그는 또한 현재로서는 DarkMe가 사이버범죄자들에게 서비스 형태로 제공되고 있는지 여부를 알 수 없다고 말했다.
안타깝게도 피해를 입은 Huntress 고객사에 대한 세부 정보는 공유할 수 없었지만, 표적이 틈새 외환 트레이더에서 일반 기업 사용자로 이동하는 경향은 분명히 나타나고 있다.
"우리는 위협 행위자들이 고도로 숙련된 표적형 침투에서 대규모·저노력 공격으로 방향을 전환하는 것을 목격하고 있으며, 그 결과가 스스로 말해줍니다. 2026년에도 사용자들은 여전히 원치 않는 이메일의 링크를 클릭하고 있습니다. 이러한 구식 피싱 전술이 계속 효과를 발휘하는 한, 공격자들은 값비싼 취약점을 소진할 이유가 없습니다"라고 Brandt와 동료 James Northey는 결론지었다.
그들은 또한 이 캠페인과 관련된 침해지표(IoC)를 공유하고, 감염을 탐지·격리·제거하는 방법에 대한 조언도 제공했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
