가짜 소프트웨어 설치 파일, Windows 업데이트 비활성화 및 Microsoft Defender 약화

활성화된 악성코드 캠페인이 위조 소프트웨어 다운로드 웹사이트를 이용해 신뢰할 수 있는 벤더를 사칭하고 악성 설치 파일을 배포하고 있다.

Microsoft는 "이 캠페인은 인기 소프트웨어를 다운로드하려는 사용자를 표적으로 삼아 여러 조직과 업종에 걸쳐 침해를 야기했으며, 주로 다국적 기업의 중국 법인과 중국어 사용자에게 영향을 미쳤다"고 밝혔다.

설치 파일은 실행 시 지속성 설정, 보안 보호 약화, 공격자가 제어하는 인프라와의 통신이 가능한 악성코드를 배포한다.

이 활동으로 인한 피해자는 의료, 제조, 게임, 기술, 물류, 정부, 교육 등 다양한 분야에 걸쳐 있다. Microsoft는 이 캠페인이 Gh0st RAT와 ValleyRAT(일명 WinOS 4.0)를 배포하기 위해 위조된 벤더 다운로드 페이지를 사용한 전력이 있는 Silver Fox(일명 Yinhu)로 불리는 중국계 위협 클러스터와 일치한다고 중간 수준의 신뢰도로 평가했다.

캠페인의 일환으로 관찰된 웹사이트는 .com.cn 및 .hl.cn 인프라에 호스팅되어 있으며, 중국어 미끼 콘텐츠를 사용해 "gehie246[.]com"에서 ZIP 아카이브 다운로드를 유도한다. 확인된 위조 웹사이트 목록은 다음과 같다:

• app-microsoft-edge[.]com[.]cn
• baidu-pan[.]com[.]cn
• cn-drawio[.]com[.]cn
• gw-sogou[.]com[.]cn
• kaspersky-lab[.]hl[.]cn
• mindmoster[.]com[.]cn
• ocam-pc[.]com[.]cn
• pc-razerzone[.]com[.]cn
• sejda[.]hl[.]cn
• steelseries-cn[.]com[.]cn
• translate-youdao[.]hl[.]cn
• zh-diskgenius[.]com[.]cn

해당 웹 페이지는 합법적인 벤더 사이트를 고화질로 복제한 것으로, 눈에 띄는 다운로드 버튼이 특징이다. 특히 사이트에서 다운로드된 아카이브는 매 다운로드 시 파일명은 동일하게 유지되지만 해시값이 변경되는데, 이는 페이로드가 매 요청마다 서버 측에서 동적으로 생성됨을 나타낸다.

아카이브를 열면 래퍼 설치 파일(예: "a_instapp83353001.exe" 또는 "ainst8663586104.exe")이 나타나며, 이를 실행하면 1단계 페이로드가 시작된다. 또한 Microsoft는 신뢰할 수 있는 Windows 설치 관리자 서비스("msiexec.exe")를 이용해 무작위 이름의 실행 파일을 실행하는 두 번째 실행 벡터도 관찰했는데, 이는 래퍼 체인과 동일한 위장 패턴을 모방한다.

어떤 방법을 사용하든 일반적인 IT 또는 생산성 작업을 모방하는 예약된 작업을 통해 지속성이 확보된다. 악성코드는 또한 SYSTEM 권한으로 실행되는 단기 예약 작업을 생성해 PowerShell을 통해 Microsoft Defender 제외 규칙을 설정하고, 볼륨 섀도 복사본을 삭제하며, icacls를 사용해 DACL(임의 접근 제어 목록)을 수정함으로써 일반 사용자가 페이로드 디렉터리를 삭제하지 못하도록 한다.

또한 wuauserv, UsoSvc, uhssvc, WaaSMedicSvc를 중지 및 비활성화하고, 업데이트 DLL(동적 링크 라이브러리)의 이름을 변경하며, SoftwareDistribution 캐시를 삭제하는 방식으로 Windows Update를 변조한다.

이 모든 단계가 완료되면 악성코드는 5090, 7031, 7032, 7088~7090, 8050, 28290, 28300과 같은 비표준 포트에서 애플리케이션 계층 프로토콜을 통해 C2(명령 및 제어) 통신을 수립한다. 이 활동과 관련된 두 개의 C2 도메인은 "iualef[.]net"와 "oijfwe[.]net"이다.

Microsoft는 Defender가 탐지 후 공격 차단을 통한 자동 봉쇄 절차를 시작해 공격의 영향을 추가로 제한했다고 밝혔으나, 캠페인의 최종 목표는 불분명하다.

이번 공개는 Kaspersky가 QN Wallpaper라는 수정된 중국어 데스크톱 배경화면 관리 도구를 배포하는 악성 설치 파일을 상세히 보고한 지 며칠 만에 이루어졌다. 해당 도구는 ValleyRAT를 전달하는 DLL 사이드로딩 체인을 시작하는 데 악용되었다.

Kaspersky는 "QN Wallpaper 원본은 정품 애드웨어로, 설치 시 번들 파트너 앱을 기기에 설치하고 광고 배너를 표시한다"면서 "그러나 이 경우 공격자들은 서명된 프로세스를 가장한 악성 DLL을 통해 악성 코드를 실행하는 기법인 DLL 사이드로딩을 수행하는 데 이를 활용했다"고 밝혔다.

백도어는 자신의 프로세스를 보호하고 종료를 방지하는 조치를 취하는 것 외에도 키 입력과 클립보드 내용을 캡처해 디스크의 파일에 저장한다. 또한 프로세스나 트래픽을 분석하는 데 사용될 수 있는 애플리케이션에 속한 활성 창을 주기적으로 검색한다.

ValleyRAT는 시스템 정보 수집, 컴퓨터 재부팅/종료, 스크린샷 캡처, 로그 삭제, C2 주소 업데이트, 추가 DLL 또는 셸코드 모듈 다운로드, 키로거 로그와 클립보드 데이터 전송 등 다양한 기능을 갖춘 정교한 임플란트다.

Kaspersky는 "공격자들은 잘 알려진 애드웨어 애플리케이션을 악용해 서명된 프로세스를 가장한 상태로 백도어를 실행해 탐지를 복잡하게 만들었다"며 "Silver Fox는 사이버 스파이 활동과 금전적 이익 모두를 동기로 여러 나라의 조직을 표적으로 삼는다"고 밝혔다.

지난달 Expel이 발표한 보고서에 따르면, ValleyRAT 사용은 GoldenEyeDog 내 하위 그룹인 CuboidalCanine에도 귀속되는데, 이 그룹은 "어느 시점부터" Gh0st RAT에서 벗어난 것으로 평가된다. 사이버 보안 업체에 따르면, CuboidalCanine은 도박 업계를 표적으로 삼고 워터링 홀(특정 사용자가 자주 방문하는 사이트를 감염시키는 공격 기법)을 활용해 코드 서명 인증서를 악용함으로써 보안 제어를 우회해 악성코드를 배포한다.

보안 연구원 Aaron Walton은 "이 악성코드는 어떤 특정 행위자에게만 국한된 것이 아니며, GoldenEyeDog에 의해 사용된 것으로 알려져 있다"면서 "소스 코드가 공개되어 있기 때문에 이 악성코드를 특정 행위자에게 귀속시키려면 악성코드 계열 자체 외의 다른 요소에 의존해야 한다"고 말했다.

2026년 6월, 중국 당국은 Silver Fox 트로이목마 신변종을 배포하는 일련의 사이버 범죄 사건에 대해 조치를 취했다고 관영 매체 China Daily가 보도했다.