PEEP, Chrome과 Edge를 사후 침투 백도어로 변환해 호스트 명령 실행에 악용

사이버보안 연구원들이 PEEP라는 복잡한 크로미움(Chromium) 기반 사후 침투(post-exploitation) 툴킷의 세부 정보를 공개했다. 이 툴킷은 웹 브라우저의 북마크 확장프로그램으로 위장한다.

"관리자 권한 또는 코드 실행 권한이 사전에 필요하지만, 설치 프로그램이 Chrome/Edge 프로필에 직접 확장프로그램을 주입하며, Chromium 자체의 Secure Preferences 무결성 값을 위조해 웹스토어 검증과 사용자 확인 절차를 우회한다"고 SOCRadar는 밝혔다. "네이티브 메시지 도구가 이를 브라우저 텔레메트리를 넘어 호스트 수준의 명령 실행 및 파일 관리까지 확장한다."

설치되면 PEEP "확장프로그램" 에이전트는 평문 HTTP를 통해 30초마다 C2(명령 및 제어) 서버("206.237.30[.]232" 또는 "xfjcc[.]fun")에 신규 명령을 폴링(polling)하면서 방문기록, 활성 탭 메타데이터, 세션 쿠키를 외부로 유출한다. 또한 호스트 명령 실행, 자격증명 탈취, 세션 하이재킹, 웹페이지 변조 기능을 갖춘 원격 접근·브라우저 모니터링 툴킷으로도 작동한다.

PEEP는 RedExt라는 오픈소스 브라우저 데이터 분석 및 레드팀 프레임워크를 기반으로 제작됐으며, RedExt는 이전 GlassWorm 공격에서도 활용된 바 있다. 다만 PEEP는 전용 설치 루틴, 네이티브 호스트 브리지, 하트비트(heartbeat) 텔레메트리, 업데이트 채널, 확장된 명령 세트를 추가해 RedExt에서 파생된 형태로 발전했다.

PEEP는 자체 초기 접근 벡터가 없기 때문에 사후 침투 프레임워크로 분류된다. 즉, 운영자가 별도 방법으로 머신을 침해하고 악성코드를 배포해야 한다. 활동 주체는 아직 특정되지 않았으나, 소스코드에 중국어 아티팩트가 존재한다는 점은 중국어권 위협 행위자를 시사한다.

확장프로그램은 "Smart Bookmarks"(ID: ejkndncpkdcjcikfhiamcdehdoegilbj)로 위장하며, "/api/commands"를 폴링하는 비컨(beacon) 루프 실행, 브라우저 데이터 수집, 추가 태스킹 수신, 결과 전송을 담당하는 핵심 에이전트다.

해당 브라우저 부가기능은 운영체제 접근이 필요한 태스크에는 보조 실행 파일("nm_host.exe")을 호출하고, 스크린샷·클립보드·JavaScript 주입 등 브라우저 기반 명령은 로컬에서 실행한다. 네이티브 메시지 호스트(Native Messaging Host) 바이너리의 사용은 이 악성코드를 단순 자격증명 탈취 도구에서 원격 접근 도구로 격상시킨다.

"사용자 컨텍스트에서 동작하는 확장프로그램은 브라우저 아티팩트를 추출하고 com.peep.lab/nm_host.exe를 사용해 셸 명령을 실행하고, 파일을 관리하며, 프로세스와 서비스를 탐색한다"고 SOCRadar는 밝혔다. "웹스토어 검증을 우회한 PEEP는 사이드로딩(sideloading), 엔터프라이즈 강제 설치 정책, 기본 설정 무결성 조작, ScriptCache 폴백(fallback)을 통해 지속성을 유지한다."

확장프로그램이 사용하는 기타 엔드포인트는 다음과 같다.

• "/api/register" — 감염 등록
• "/api/agents/<id>/heartbeat" — 브라우저 User-Agent 문자열, 운영체제, 시간대 정보 전송
• "/api/extension_update/" 및 "/api/extension_crx/" — 확장프로그램 자체 업데이트
• "/api/agents/<id>/task_result" — 명령 실행 결과 전송
• "/api/exfil" — 쿠키, 최근 방문기록, 열린 탭, 활성 URL, 공인 IP 주소, 로케일, 시간대 등 자동 수집 데이터 전송
• "/health" — 로그인 자격증명 없이 내부 시스템 상태 제공
• "/login" — 포트 5001의 C2 패널 로그인 인터페이스 제공

PEEP의 또 다른 특징은 Secure Preferences 파일을 수정해 브라우저 시작 시 확장프로그램이 자동 활성화되도록 한다는 점이다. 해당 확장프로그램은 Chrome 웹스토어 및 기타 공식 마켓플레이스에서 제공되지 않으므로, 배포를 위해 ExtensionInstallForcelist 또는 ExtensionSettings 정책과 사이드로딩 기법을 함께 활용한다.

이 조작을 지원하기 위해 악성코드는 PowerShell 스크립트 두 개를 사용한다.

• install_silent.ps1 — Developer Mode를 활성화해 임의 확장프로그램을 사이드로드
• patch_secure_prefs.ps1 — Secure Preferences 파일 패치
• force_enable.ps1 — Preferences의 external_uninstalls에서 확장프로그램을 제거하고, %LOCALAPPDATA%\PEEP\crx에 CRX를 배치하며, HKCU Extensions 키와 External Extensions JSON 매니페스트를 통해 재등록 후 브라우저를 재시작

또한 Python 스크립트 "patch_secure_prefs_linux.py"의 존재는 위협 행위자가 Linux 환경도 표적으로 삼기 위해 동일한 동작을 이식하고 있음을 시사한다.

초기화 이후 확장프로그램은 구성 파일을 파싱해 C2 정보를 추출하고 자동 데이터 수집을 활성화하며, 보조 콘텐츠 스크립트("content.js")가 모든 활성 웹페이지에 삽입된다.

SOCRadar는 "Authorized CTF(캡처 더 플래그, 해킹 대회)" 관련 언급을 다수 발견했다고 밝혔으며, 이는 위협 행위자가 AI 도구의 안전 장치를 낮추기 위해 해당 프레임을 활용해 악성코드 개발에 도움을 받았을 가능성을 제기한다. 현재 표적이 누구인지에 대한 단서는 없으나, "/health" 엔드포인트에는 34개의 에이전트 항목, 10개의 활성 세션, 507건의 데이터 레코드가 표시되어 있다. 다만 실제 감염 호스트와 테스트 항목 또는 검증된 배포를 구분할 방법은 없다.

"PEEP는 기존 호스트 침해를 발판으로 삼아 네이티브 메시지 브리지를 활용해 Chrome/Edge를 브라우저 샌드박스를 넘어 OS에 접근하는 지속형 백도어로 전환한다"고 SOCRadar는 말했다. "그 로직이 서명된 브라우저 프로세스 내부에서 실행되기 때문에 신규 또는 미서명 바이너리를 기반으로 한 탐지를 회피한다. 결과적으로 브라우저는 자격증명 탈취, 세션 남용, 명령 실행을 위한 엔드포인트 피벗(pivot)으로 활용된다."