AMD 드라이버 취약점을 이용하는 Lunex Stealer

우크라이나어로 작성된 가짜 사이트를 통해 유포되는 Lunex Stealer 공격 캠페인이 발견됐다. ClickFix 공격에서부터 시작되는 캠페인은 정상 AMD 드라이버를 드랍, 취약점을 이용해 커널 수준의 제어권을 행사하는 BYOVD(Bring Your Own Vulnerable Driver) 기법을 사용해 보안 관련 드라이버를 방해하고 Lunex Stealer 를 다운로드해 사용자의 민감한 정보를 탈취한다.

Lunex Loader

Lunex Loader 는 취약점이 있는 정상 AMD 드라이버를 드랍, 취약점을 이용해 커널 수준의 제어 능력을 얻은 후 보안과 관련된 드라이버 기능을 방해하고 정보 탈취 기능을 보유한 Lunex Stealer 를 다운로드해 실행한다.

악성 동작에 사용되는 대부분의 문자열은 AES-256-CTR 알고리즘으로 암호화된 채 저장되며, 암호화된 문자열은 사용되기 직전에 하드코딩된 32 바이트 Key 와 16 바이트 IV 값으로 복호화된다.

Lunex Loader 실행 시 파일 내 암호화된 채 임베디드된 정상 AMD 드라이버 파일 PDFWKRNL.sys 를 “C:\Users\Public” 경로에 무작위 파일명으로 드랍한다. 암호화 방식은 문자열과 동일한 AES-256-CTR 알고리즘이지만 사용되는 Key 와 IV 가 다르다. 드랍된 AMD 드라이버 파일은 윈도우 서비스로 등록된 후 실행된다.

드랍한 드라이버 로딩에 성공하면 현재 피해자 시스템의 핵심 커널 실행 파일인 ntoskrnl.exe 파일의 경로를 찾아 파일 내에서 RSDS PDB GUID 바이너리 값을 찾고, PDB Age 값과 조합해 고유한 문자열을 생성한다. 이후 앞서 생성한 고유한 문자열을 경로로 사용해 Microsoft 의 심볼 서버로부터 현재 시스템의 ntoskrnl.exe 파일에 대응하는 ntkrnlmp.pdb 파일을 다운로드한다. 이 파일에는 현재 시스템의 커널 빌드 심볼 및 구조체 정보가 포함되어 이후 있을 커널 수준의 조작에 이용된다.

BYOVD 공격 준비를 마치면 현재 시스템에 로딩된 드라이버를 열거하고 미리 정의된 차단 대상 목록과 비교한다. 차단 대상 드라이버를 발견하면 앞서 실행한 AMD 드라이버의 취약점과 ntkrnlmp.pdb 파일로부터 얻은 커널 정보를 이용해 커널 수준의 제어를 행사하고 드라이버 기능을 방해한다.

차단 대상 드라이버 목록은 [표 1]과 같다.

BYOVD 공격 후 Lunex Loader 는 공격자 서버에 접속해 Lunex Stealer(psychedeliclove.exe) 를 다운로드, %APPDATA% 경로에 생성하고 실행한다. Lunex Stealer 실행에 성공하면 BYOVD 공격에 사용된 무작위 이름의 서비스를 제거한다.

Lunex Stealer

Lunex Stealer 는 .embed 섹션에 하드코딩된 JSON 형식의 초기 설정 값을 사용해 C2 서버와 통신한다.

초기 설정을 이용해 C2 서버와 통신하는데 성공하면 추가 설정 데이터를 다운로드하고, 이에 대응하는 악성 행위를 수행한다. 다운로드한 설정 키에 따른 악성 행위는 [표 2]와 같다. 일반적인 정보 탈취형 멀웨어와 마찬가지로 피해자의 민감한 정보를 수집하고 추가 페이로드를 다운로드, 실행하는 것이 주된 기능이다.

deploy_poll 설정 값이 true 이면 C2서버로부터 실행할 Task 정보를 추가로 다운로드한다. Task 정보에는 다운로드할 페이로드의 경로, 파일명, 파일 크기가 포함되며, 다운로드된 파일은 확장자에 따라 적절한 옵션과 방법을 선택해 실행된다.

또한 Lunex Stealer 는 자체 C2 통신 기능 외에도 악성 브라우저 확장 프로그램과 PowerShell 호스트를 설치한다. 확장 프로그램은 HTTP 와 WebSocket 으로 C2 서버와 통신하며, 서버에서 받은 파일 관련 작업을 Native Messaging 메시지로 구성해 로컬 PowerShell 호스트에 전달한다. PowerShell 호스트는 전달받은 메시지에 따라 파일 시스템 제어, 실행 기능을 수행해 반환하고, 반환된 결과는 확장 프로그램을 통해 다시 C2 서버로 전송된다.

피해 시스템의 MachineGUID를 기반으로 생성한 문자열을 사용해 “%LOCALAPPDATA%\Packages\Extensions” 경로에 폴더를 생성, 러시아어로 된 Microsoft Office Word 편집기로 위장한 악성 확장 프로그램을 설치한다. 확장 프로그램의 주요 정보를 정의하는 manifest.json 파일에는 정보 탈취를 위한 권한과 백그라운드에서 실행될 service-worker-loader.js 파일에 대한 내용을 담고 있다.

백그라운드에서 실행되는 service-worker-loader.js 파일은 함께 확장 프로그램에 동봉된 난독화된 자바스크립트 파일 background.ts-CBVm7Il4.js를 로딩해 C2 서버와 통신하고 Native Messaging 기능을 통해 PowerShell 스크립트에 C2 메시지를 전달 후 처리 결과를 돌려받는 역할을 한다. 그 외 자바스크립트 파일들은 manifest.json 파일에 정의된 내용에 따라 웹 페이지에 로딩돼 로그인 입력 정보를 수집하고 CSP 관련 meta 요소를 제거한다.

Lunex Stealer 가 드랍한 PowerShell 스크립트 host.ps1 파일은 앞서 설명한 확장 프로그램의 자바스크립트로부터 전달받은 메시지를 [표 3]과 같이 처리한다.

이번 사례는 정상 드라이버와 브라우저의 정상 기능이 악성 행위에 악용될 수 있음을 보여준다. 악성 확장 프로그램 설치를 방지하기 위해 설치 전 확장 프로그램의 출처, 요청하는 권한이 적절한지 검증하고 이미 설치된 확장 프로그램 중 사용하지 않는 것은 정리하는 습관이 필요하다. 또한 ClickFix 공격이 최초 공격의 트리거로서 성행하는 만큼 본인 인증, 오류 해결, 등의 이유로 Windows 실행 창에 명령어를 복사해 실행할 것을 요구한다면 의심해야 한다.

상기 악성코드는 잉카인터넷 안티바이러스 제품 TACHYON Internet Security 6.0에서 진단 및 치료가 가능하다.