GitHub에 가짜 LastPass Authenticator 설치 파일이 올라와 있으며, 이를 내려받아 실행하면 마이크로소프트가 공식 서명한 커널 드라이버가 설치되면서 백신·EDR(엔드포인트 탐지·대응) 소프트웨어 145종을 강제 종료합니다. 보안 도구가 꺼진 상태에서 비밀번호 탈취 악성코드가 실행되어 크롬·엣지 등 20개 이상의 브라우저 저장 비밀번호, 암호화폐 지갑, Discord·Steam·Telegram 세션 등이 공격자 서버로 전송됩니다. 드라이버가 공식 서명을 받은 데다 파일명을 바꿔 VirusTotal 탐지를 0건으로 줄였고, 마이크로소프트의 취약 드라이버 차단 목록에도 등재되지 않아 현재까지 차단 수단이 없습니다. 감염된 PC는 부팅할 때마다 보안 도구를 다시 죽이고 재탈취를 반복하므로, 커널 수준 포렌식 분석 또는 OS 재설치가 필요합니다. LastPass 자체 시스템과 고객 볼트(저장소)는 피해를 입지 않았으나, 가짜 페이지가 최소 40개 브랜드를 사칭하고 있어 주의가 요구됩니다.
공격자가 GitHub에 가짜 LastPass Authenticator 설치 파일을 배포했다. 실행 시 마이크로소프트 서명이 있는 커널 드라이버(Alinubx.sys)가 설치되어 백신·EDR 145종을 종료하고, 이후 비밀번호 탈취 악성코드(Rapuncel)가 브라우저 자격증명·암호화폐 지갑·메신저 세션을 수집해 외부로 전송한다.
크롬·엣지를 포함한 20개 이상의 브라우저에 저장된 비밀번호, Windows Credential Manager, 암호화폐 지갑 파일, Discord·Steam·Telegram 세션이 모두 탈취될 수 있다. 드라이버는 재부팅 시마다 보안 도구를 재차 종료하므로 일반 악성코드 제거 도구가 작동하지 않는다.
DLL 사이드로딩으로 관리자 권한 및 SYSTEM 권한을 획득하고, 알려진 취약 드라이버(CcProtect.sys)를 파일명만 바꿔 재서명 없이 재사용(BYOVD 기법)했다. 파일명 변경만으로 VirusTotal 탐지 7건 → 0건으로 감소했고, 마이크로소프트 드라이버 차단 목록에도 원본과 변종 모두 등재되어 있지 않다.
LastPass와 Delphos Labs가 8월 19일 마이크로소프트에 신고했으며, 마이크로소프트는 자사 구성요소가 아님을 이유로 보안 취약점으로 분류하지 않고 드라이버 차단 목록 검토 채널로 이관했다. 9월 17일 보고서 발표 시점에 해당 드라이버는 아직 차단 목록에 미등재 상태다.
가짜 설치 파일을 실행한 PC는 저장된 모든 비밀번호가 탈취된 것으로 간주하고, 반드시 별도의 청결한 기기에서 비밀번호를 변경해야 한다. 감염 PC는 커널 수준 포렌식 또는 OS 재설치가 권장된다. 보안팀은 NvFsFilter 서비스, nvfsflt64.sys 드라이버 파일, 'Henan Dafeng Software' 서명자 등 행위 기반 IOC를 탐지 룰에 추가해야 한다.
본문
LastPass와 Delphos Labs 연구진은 9월 17일, GitHub에 올라온 가짜 LastPass Authenticator 설치 파일이 Windows 커널 드라이버를 설치해 백신 및 기타 보안 소프트웨어를 종료한 뒤 비밀번호 탈취 악성코드를 실행한다고 밝혔다.
해당 드라이버는 마이크로소프트의 하드웨어 호환성 프로그램을 통해 서명을 받았으며, 연구진이 8월에 VirusTotal에서 확인했을 때 탐지 건수는 0이었고 마이크로소프트의 차단 드라이버 목록에도 등재되어 있지 않았다. LastPass는 자사 시스템·서비스·고객 볼트는 전혀 피해를 입지 않았으며, 공격자들은 LastPass의 이름을 도용했을 뿐이라고 밝혔다.
미끼로 사용된 것은 "LastPass Authenticator download" 등의 검색어에서 검색 결과에 노출되며 실제 LastPass 제품 페이지처럼 보이는 가짜 GitHub 페이지(github.com/LastPass-Authenticator)다.
다운로드 버튼을 클릭하면 여러 GitHub 페이지를 거쳐 공격자 서버로 연결되고, 대용량 ZIP 파일이 제공된다. 진짜 LastPass Authenticator는 lastpass.com과 공식 앱 스토어에서만 제공되며 GitHub에서 배포되지 않는다.
ZIP 파일 내부에는 마이크로소프트의 실제 디버깅 도구인 vsdbg.exe의 이름이 변경된 복사본과, vsdbg.dll이라는 악성 파일이 함께 들어 있다. 가짜 설치 파일을 실행하면 Windows는 같은 폴더에 있는 공격자의 DLL을 로드하는데, 이 기법을 DLL 사이드로딩이라고 한다. 로더는 세 가지 방법으로 관리자 권한 획득을 시도하고, Windows 최고 권한인 SYSTEM에 도달한 뒤 커널 드라이버를 서비스로 설치한다.
확인된 압축 파일의 크기는 148 MB와 127.9 MB로, 크기 제한이 있는 보안 스캐너가 건너뛰도록 의도적으로 불필요한 파일을 채워 넣은 것이다.
드라이버의 동작 방식과 Windows가 신뢰하는 이유
커널 드라이버는 백신 및 EDR(엔드포인트 탐지·대응) 도구가 동작하는 레이어보다 하위에서 실행된다. 연구진이 Alinubx.sys로 명명한 이 드라이버는 145개의 백신·보안 프로세스 이름 목록을 보유하고 있으며, 실행 중인 프로세스를 하나씩 찾아 종료한다.
이 작업은 보안 소프트웨어가 동작하는 레이어보다 하위인 커널에서 수행되므로, 사용자 모드 보안 도구는 이를 차단하거나 감지할 수 없다. 합법적으로 서명되었으나 악용 가능한 드라이버를 로드해 그 권한을 획득하는 기법을 BYOVD(Bring Your Own Vulnerable Driver, 취약 드라이버 직접 가져오기)라고 하며, The Hacker News가 이전에 다룬 바 있다.
해당 드라이버는 Microsoft Windows Hardware Compatibility Publisher 체인을 통해 서명되었으며, 서명 날짜는 이번 캠페인보다 몇 년 앞선 2023년 3월이다. 연구진은 "마이크로소프트의 인증은 드라이버가 신뢰 파이프라인을 통과했음을 증명할 뿐, 드라이버가 안전하다는 것을 증명하지는 않는다"고 언급했다.
이번에는 프로세스 종료 기능만 작동했다. 드라이버 코드에는 파일 숨김, 다른 프로그램에 코드 주입, 웹 트래픽 우회 기능도 포함되어 있으나, 공격자가 해당 기능에 필요한 설정 파일을 포함하지 않아 실행되지 않았다.
실행된 기능만으로도 충분했다. 보안 소프트웨어가 종료된 상태에서 탈취 악성코드는 20개 이상의 브라우저에 저장된 비밀번호, 암호화폐 지갑 파일, Discord·Steam·Telegram 로그인 세션을 수집했으며, Windows Credential Manager 내용과 "password", "seed", "recovery" 같은 이름의 파일도 포함했다.
Chrome과 Edge는 구글의 앱 바운드 암호화(app-bound encryption)를 사용해 이런 탈취를 방지하는데, 탈취 악성코드는 브라우저 내에 코드를 주입하고 브라우저 자체 서비스에 복호화를 요청하는 방식으로 이를 우회했다. 수집된 데이터는 ZIP으로 압축되어 공격자 서버로 전송된다.
왜 아무것도 탐지하지 못했는가
해당 드라이버는 중국산 디스크 암호화 제품 CnCrypt의 드라이버인 CcProtect.sys의 이름을 바꾼 복사본으로, 이미 LOLDrivers 카탈로그에 프로세스 킬러로 등록되어 있으며 공개된 개념 증명(PoC) 코드도 존재한다. 두 파일은 제품명, 버전, 제출자가 동일하며 파일명과 설명만 변경되었다.
이 변경만으로 파일의 백신 탐지 건수가 달라졌다. 8월 기준 알려진 원본은 약 70개 엔진 중 7개가 탐지했으나, 이름을 바꾼 드라이버는 탐지 건수가 0이었다.
차단 목록은 별개의 문제다. Windows 11 2022 업데이트부터 기본 활성화된 마이크로소프트의 취약 드라이버 차단 목록은 등재된 드라이버의 로드를 막는다. Delphos가 8월 20일 확인한 결과, 이름을 바꾼 드라이버와 원본 모두 목록에 없었다. 파일명 변경이 차단 목록을 통과한 게 아니라, 원본 자체가 처음부터 등재되지 않았던 것이다.
차단 목록은 알려진 파일 해시로 매칭하는데, 이름을 바꾸거나 재컴파일한 드라이버는 새로운 해시를 생성하므로 목록에 존재하지 않는다. 9월 17일 보고서 발표 시점에도 Alinubx.sys는 차단 목록에 미등재 상태였다.
Delphos는 8월 19일 마이크로소프트에 해당 드라이버를 신고했다. 마이크로소프트는 해당 드라이버가 자사 구성요소가 아니므로 보안 취약점 정의에 해당하지 않는다고 답하며, 드라이버 차단 목록 등재를 검토하는 별도 채널을 안내했다. Delphos는 같은 날 해당 채널에 재제출했다.
가짜 설치 파일을 실행했다면
해당 기기의 브라우저에 저장된 모든 비밀번호, 암호화폐 지갑 파일, Discord·Steam·Telegram 세션, Windows Credential Manager에 있는 모든 정보가 탈취된 것으로 간주해야 한다. 탈취 악성코드는 드라이버 작업 이전에 이를 수집한다.
비밀번호는 감염된 기기가 아닌 별도의 청결한 기기에서 변경하고, 본인이 수행하지 않은 계정 활동이 있는지 확인해야 한다. 드라이버는 로드된 상태를 유지하며 재부팅 시마다 보안 도구를 재차 종료하고 탈취 악성코드를 재실행하므로, 정상적으로 악성코드를 제거할 도구가 작동하지 않는다.
이 페이로드가 실행된 기기는 커널 수준 침해로 판단하고, 가능하면 커널 수준 포렌식 분석을 수행하거나 OS를 재설치해야 한다.
방어팀이 탐지해야 할 지표
연구진은 공격자가 이번처럼 파일명을 다시 변경할 수 있으므로, 특정 파일명이 아닌 드라이버의 계보와 행위를 기반으로 탐지해야 한다고 권고한다. 주요 탐지 지표:
- 서비스: NvFsFilter 이름으로 생성된 서비스
- 파일: C:\Windows\System32\drivers\nvfsflt64.sys에 기록된 드라이버
- 서명자: 서명 정보에 Henan Dafeng Software 또는 "CnCrypt"가 포함된 드라이버
- 디바이스: \.\Alinubx 경로
- 행위: 드라이버 로드 후 보안 프로세스가 연속으로 종료되는 패턴
LOLDrivers에 해당 드라이버에 대한 커뮤니티 탐지 룰이 게시되어 있으나, 해시 기반 매칭이므로 파일이 변경되면 동일한 한계가 있다. 전체 침해지표(IoC)는 공동 보고서에 수록되어 있다.
출처 추정
LastPass 페이지는 여러 미끼 중 하나였다. LastPass에 따르면 공격자 서버는 최소 40개 브랜드의 사칭 페이지를 제공하고 있었으며, "macOS LastPass" 제품을 가장한 거의 동일한 두 번째 가짜 페이지는 팀이 분석하기 전에 삭제되었다.
이 탈취 악성코드 패밀리를 배포하는 가짜 GitHub 저장소는 새로운 수법이 아니다. Trend Micro는 3월에 같은 방식으로 확산된 BoryptGrab 탈취 악성코드를 문서화했으며, Arctic Wolf는 7월에 약 300개의 유사 저장소를 이용한 별도 공격 사례를 보고했다.
Delphos는 높은 신뢰도로 해당 로더가 기본 종료 목록에 145개 이름을 포함하고 드라이버를 교체할 수 있는 유료 도구인 Cruciferra 크립터(crypter)로 제작되었다고 평가했으며, 중간 신뢰도로 LastPass가 Rapuncel이라 부르는 탈취 악성코드가 동일한 빌드가 아닌 BoryptGrab의 변종이라고 보고 있다. 감염된 피해자 수는 알 수 없으며 보고서에는 피해자 수가 제공되지 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
