Lunex Stealer, AMD 드라이버 악용해 보안 모니터링 무력화 후 브라우저 자격증명 탈취

우크라이나 웹사이트 침해 및 ClickFix 방식의 Cloudflare 인증 확인을 통해 유포되는 Psychedelic Stealer 악성코드는 Lunex라는 더 광범위한 MaaS(악성코드 서비스) 플랫폼의 일부입니다.

이번 새로운 분석 결과는 Ontinue가 공개한 것으로, 해당 활동을 우크라이나어 사용자를 겨냥한 4단계 공격 체인으로 설명했습니다.

Ontinue의 위협 연구원 Rhys Downing은 기술 보고서에서 "공격 체인은 가짜 CAPTCHA 페이지로 시작해 완전한 기능을 갖춘 C2(명령·제어) 에이전트 배포로 끝난다"고 밝혔습니다. "스틸러는 7개 크로미움 기반 브라우저에서 자격증명과 데이터를 추출하고, 암호화폐 지갑을 탈취하며, 피해자 브라우저에 설치된 PowerShell 기반 네이티브 메시징 호스트(NMH)를 통해 지속적인 원격 파일 시스템 접근을 확립합니다."

감염은 ClickFix를 통해 전달되는 가짜 MSI 설치 파일을 이용해 일련의 동작을 유발합니다. 여기에는 CMSTPLUA COM 개체를 이용해 Windows의 UAC(사용자 계정 컨트롤)를 우회하도록 설계된 LunexLoader라는 로더 전달, 방어 회피를 위한 BYOVD(취약한 드라이버 직접 가져오기) 공격 활용, 최종적으로 스틸러 페이로드 다운로드가 포함됩니다.

BYOVD 기법의 사용은 상당한 의미를 갖습니다. 이 기법이 정보 탈취형 악성코드와 같은 최종 단계 페이로드의 전처리 과정으로 사용되는 사례는 매우 드물기 때문입니다. Lunex는 AMD Radeon Software의 취약한 커널 모드 드라이버("PDFWKRNL.sys")를 악용하는데, 이 드라이버는 CVE-2023-20598에 취약하며, 이를 통해 권한을 상승시키고 보안 관련 프로세스를 실행 상태로 유지하면서도 무력화합니다.

Psychedelic Stealer는 이번 주 초 Arctic Wolf Labs가 처음 문서화했습니다. 보고서는 위협 행위자가 헤어 트리트먼트 클리닉, 스케일 모델 제조사, 전문 서점, 심리 시설, 공구 소매점, 자동차 소매점 등 합법적인 웹사이트를 침해해 ClickFix 미끼를 제공하도록 설계된 iframe 요소를 삽입하는 수법을 상세히 설명했습니다.

Downing은 The Hacker News에 "공격 체인 분석 결과, 스틸러가 전달되기 전에 악성코드가 합법적이지만 취약한 드라이버를 사용해 피해자 기기의 보안 도구를 끄도록 설계돼 있다는 것을 발견했습니다. 그 보호 기능이 비활성화된 후, 정보 탈취형 악성코드가 배포돼 브라우저 비밀번호, 세션 쿠키, 암호화폐 지갑 데이터를 가져갑니다"라고 말했습니다.

사이버보안 문헌에서 Lunex에 대한 최초 언급은 2026년 6월로 거슬러 올라가며, 당시 BlueTeamCoolTeam의 Luke Wilkinson이 미국, 핀란드, 독일, 네덜란드, 우크라이나에 걸쳐 6개의 활성 Lunex Stealer C2 패널을 식별했습니다.

LunexStealer(일명 Psychedelic Stealer) C2 패널 | 출처: BlueTeamCoolTeam

Psychedelic Stealer와 LunexStealer가 동일한 MaaS 플랫폼의 구성 요소를 가리킨다는 점에 주목할 필요가 있습니다. Downing은 "'Psychedelic'은 피해자 기기에서 실행되는 악성코드 파일 이름이고, Lunex는 여러 범죄 집단에 판매되는 기반 플랫폼으로, 이것이 'Lunex'와 'LunexStealer'라는 이름의 유래"라고 설명했습니다.

실행 시 LunexStealer는 HTTP를 통해 193.178.159[.]128의 Lunex 패널과 통신해 포괄적인 정보 탈취를 수행합니다.

• Google Chrome, Microsoft Edge, Brave, Yandex Browser, Opera, Opera GX, Vivaldi에서 자격증명 탈취.
• Bitcoin Core, Litecoin, Exodus, Atomic Wallet, Electrum 등 5개 데스크톱 암호화폐 지갑과 MetaMask, MetaMask Legacy, OKX Wallet, SafePal Wallet 등 4개 브라우저 확장 지갑을 열거하고 관련 데이터 탈취.
• 레지스트리 실행 키, "psychedelicloveUtils"라는 이름의 숨겨진 예약 작업, 스틸러가 추가 작업을 수행할 수 있도록 하는 Chrome 네이티브 메시징 브리지 또는 호스트(NMH) 등록을 통해 지속성 확립.

Downing은 "호스트는 표준 입출력을 통해 Chrome 네이티브 메시징 프로토콜을 구현하는 .rdata 섹션에 임베드된 13,200바이트 PowerShell 스크립트로 지원됩니다"라고 말했습니다. "NMH는 Chrome의 프로세스 컨텍스트 내에서 작동합니다. 스틸러 바이너리 삭제, 시스템 재부팅, 브라우저 재시작 후에도 살아남습니다."

PowerShell 스크립트는 6가지 파일 시스템 작업을 지원합니다.

• list_drives: C부터 Z까지 모든 드라이브 문자 열거
• list_dir: 파일 크기와 함께 디렉터리 내용 목록 조회
• read_file: 512KB 청크 단위로 최대 524MB의 임의 파일 읽기
• write: 임의 경로에 임의 데이터 쓰기
• download: 시스템에서 파일 다운로드
• run: 임의 프로그램 실행

또한 LunexStealer는 Chrome Secure Preferences를 조작해 악성 크롬 확장 프로그램을 주입하고, 쿠키, 기록, 북마크, 탭, 저장소, 프록시, 스크립팅, declarativeNetRequest, 모든 HTTP 및 HTTPS URL에 대한 광범위한 권한을 선언합니다. 이를 통해 해당 확장 프로그램은 피해자의 브라우저 활동에 대한 완전한 가시성과 제어권을 갖게 됩니다.

Lunex 패널 분석 결과 러시아어권 개발자 또는 개발팀의 존재가 확인되었으며, 13개국에 걸쳐 28개의 고유 패널이 식별돼 2026년 6월 이후 대규모 확장이 이루어졌습니다. 이 패널들은 러시아, 미국, 영국, 네덜란드, 프랑스, 독일, 터키, 방글라데시에서 호스팅되고 있습니다.

Downing은 "단 몇 달 만에 이러한 성장은 플랫폼이 단일 운영자가 아닌 한 명의 위협 행위자 또는 다른 행위자들에게 판매되어 활발하게 확장·사용되고 있음을 보여준다"고 말했습니다.

터키에서 호스팅되는 패널 중 하나는 다음 5개의 피싱 도메인으로 연결되는 것으로 확인되었습니다.

• account-sams-club[.]com
• teamwork-recover-password[.]com
• namshi-uae[.]com
• whatsappbusineses[.]com
• ibraq-perfumes[.]com

이는 MaaS 플랫폼의 기능이 자격증명 탈취를 넘어 브랜드 사칭 및 피싱까지 확장됨을 시사합니다.

Ontinue는 "프로세스 종료 대신 PDB(프로그램 데이터베이스) 기반 커널 콜백 제거를 사용하는 BYOVD 전달 체인은 보안 제품을 실행 상태로 유지하면서 무력화하는 더 은밀한 EDR(엔드포인트 탐지 및 대응) 무력화 방식"이라고 밝혔습니다.

"검증된 테스트 결과, HVCI(하이퍼바이저로 보호되는 코드 무결성)나 현재의 마이크로소프트 취약 드라이버 차단 목록 모두 이 체인에 사용된 특정 PDFWKRNL.sys 변종의 로딩을 막지 못했으며, 해당 드라이버 해시가 2026년 3월부터 LOLDrivers 프로젝트에 등록돼 있음에도 이 격차는 여전히 존재합니다."