암아테라 스틸러 4.0.2 베타: 이 버전의 새로운 점

SOC Prime Team

팔로우

Detection stack

AIDR
Alert
ETL
Query

위협 보고서
공격 흐름
탐지
시뮬레이션

요약

Amatera Stealer 4.0.2 Beta는 2018년부터 Malware-as-a-Service로 판매되어 온 C++ 정보 탈취 프로그램을 개조한 것입니다. 이번 업데이트 버전은 강력한 안티 디버깅 및 안티 분석 기능을 도입하고, Kaspersky 제품 및 우크라이나 키보드 레이아웃과 연결된 지오펜싱 검사를 포함하며, AES-256-CBC를 대체하여 ECDH 키 교환 및 ChaCha20-Poly1305를 조합하여 명령 및 제어 암호화를 강화하였습니다. 수집 모듈도 추가로 암호화폐 지갑 및 브라우저 확장을 목표로 확장되었으며, Discord 및 Signal 아티팩트 수집을 지원합니다. 전달은 ClickFix에 의존합니다. mshta.exe 체인을 통해 32비트 쉘코드 로더를 배포하여, 스틸러를 메모리로 반사적으로 주입합니다.

조사

eSentire 위협 대응 팀은 2026년 4월 금융 부문에서 전체 전달 체인을 관찰했습니다. 그들의 분석은 7개의 핵심 API를 해결하는 32비트 쉘코드 로더를 식별하고, 128바이트 XOR 키를 사용하여 페이로드를 해독하고, aPLib로 압축을 풀고, 반사적 PE 주입을 수행했습니다. 로더는 RecycledGate 및 FreshyCalls 시스템 호출 해결 방법을 구현하고 시스템 호출 번호를 암호화했습니다. 구성 데이터는 ECDH 기반 키 교환을 통해 HTTPS로 배달되었으며, 구성에 액세스하려면 하드코딩된 GUID가 필요했습니다.

완화 조치

수비수는 mshta.exe 신뢰할 수 없는 URL에서 검색된 파일의 실행을 차단하고, 가능한 경우 그룹 정책을 통해 실행 대화 상자를 비활성화해야 합니다. AppLocker 또는 WDAC와 같은 애플리케이션 제어 도구를 사용하여 승인되지 않은 PowerShell 및 HTA 실행을 방지해야 합니다. 보안 팀은 또한 Kaspersky 드라이버 경로 및 우크라이나 키보드 레이아웃 확인을 모니터링해야 합니다. 이는 회피 행동을 나타낼 수 있습니다. 엔드포인트 보호는 매우고 주입 기술 및 API 해싱을 사용하는 로더를 감지해야 합니다.

응답

Amatera Stealer 활동이 감지되면, 영향을 받은 시스템을 즉시 격리하고 악성 프로세스를 중지하며, 주요 및 페이로드 분석을 위한 메모리 덤프를 수집해야 합니다. 가능한 경우 구성을 복구하기 위해 암호화되지 않은 TLS 트래픽을 캡처하고, 유출된 데이터가 있는지 식별합니다. 호스트에서의 자격 증명 및 암호화폐 지갑에 대한 전체 검토를 수행해야 합니다. 조직은 보고된 IOCs 및 관련 공격 기법을 사용하여 환경 내에서 지표 기반 사냥을 시작해야 합니다.

graph TB classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ffcc99 classDef process fill:#99ff99 classDef technique fill:#ffeb99 classDef operator fill:#ff9900 action_user_execution[“동작 – T1218.005 mshta 실행 사용자가 악성 HTML 애플리케이션 실행”] class action_user_execution action process_powershell[“프로세스 – PowerShell Base64 인코딩 명령”] class process_powershell process tool_reflective_loader[“도구 – 리플렉티브 로더 32비트 셸코드 다운로드”] class tool_reflective_loader tool technique_reflective_loader[“기법 – T1620 리플렉티브 코드 로딩”] class technique_reflective_loader technique technique_xor_obfusc[“기법 – T1027.002 XOR 난독화”] class technique_xor_obfusc technique technique_aplib_compress[“기법 – T1027.007 aPLib 압축”] class technique_aplib_compress technique technique_anti_debug[“기법 – T1652 분석 환경 탐지”] class technique_anti_debug technique malware_stealer[“악성코드 – 스틸러 자격 증명, 시드 문구, 개인 키 수집”] class malware_stealer malware technique_credential_browser[“기법 – T1555.003 브라우저 자격 증명”] class technique_credential_browser technique technique_credential_manager[“기법 – T1555.004 Windows 자격 증명 관리자”] class technique_credential_manager technique technique_credential_manager_file[“기법 – T1555.005 비밀번호 관리자”] class technique_credential_manager_file technique technique_credential_chat[“기법 – T1552.008 안전하지 않은 채팅 전송”] class technique_credential_chat technique technique_credential_files[“기법 – T1552.001 자격 증명 파일”] class technique_credential_files technique technique_search_downloads[“기법 – 다운로드에서 시드 문구 및 키 검색”] class technique_search_downloads technique technique_zip[“기법 – T1560 데이터 압축”] class technique_zip technique technique_https_exfil[“기법 – T1573.001 HTTPS C2 사용”] class technique_https_exfil technique technique_encrypted_exfil[“기법 – T1041 암호화된 트래픽 유출”] class technique_encrypted_exfil technique action_user_execution –>|실행| process_powershell process_powershell –>|다운로드| tool_reflective_loader tool_reflective_loader –>|구현| technique_reflective_loader tool_reflective_loader –>|사용| technique_xor_obfusc tool_reflective_loader –>|사용| technique_aplib_compress tool_reflective_loader –>|탐지 회피| technique_anti_debug tool_reflective_loader –>|로드| malware_stealer malware_stealer –>|수집| technique_credential_browser malware_stealer –>|수집| technique_credential_manager malware_stealer –>|수집| technique_credential_manager_file malware_stealer –>|수집| technique_credential_chat malware_stealer –>|수집| technique_credential_files malware_stealer –>|검색| technique_search_downloads malware_stealer –>|압축| technique_zip technique_zip –>|유출| technique_https_exfil technique_https_exfil –>|암호화 사용| technique_encrypted_exfil

공격 흐름

공격 서사 및 명령어:
손상된 호스트에서 PowerShell 실행을 획득한 공격자는 Kaspersky 드라이버 회피 버그를 악용하고자 합니다. 그들은 PowerShell의 New-Item cmdlet을 사용하여 네 개의 미끼 드라이버 파일 (klif.sys, kldisk.sys, klhk.sys, kneps.sys)을 C:WindowsSysWOW64drivers에 드랍합니다. 이렇게 함으로써 Sigma 규칙에 적합한 정확한 명령 줄 문자열을 생성하여 경고를 유발하는 동시에 나중에 권한 상승 또는 지속성을 위한 파일을 심을 수 있습니다.

회귀 테스트 스크립트:

# PowerShell 스크립트로 네 개의 미끼 Kaspersky 드라이버 파일을 생성합니다.
$driverPath = "C:WindowsSysWOW64drivers"
$files = @("klif.sys","kldisk.sys","klhk.sys","kneps.sys")

foreach ($f in $files) {
    $fullPath = Join-Path -Path $driverPath -ChildPath $f
    try {
        New-Item -Path $fullPath -ItemType File -Force -ErrorAction Stop |
            Out-Null
        Write-Host "[+] Created $fullPath"
    } catch {
        Write-Warning "[-] Failed to create $fullPath : $_"
    }
}

정리 명령어:

# 생성된 미끼 드라이버 파일을 제거하여 호스트를 원래 상태로 되돌립니다.
$driverPath = "C:WindowsSysWOW64drivers"
$files = @("klif.sys","kldisk.sys","klhk.sys","kneps.sys")

foreach ($f in $files) {
    $fullPath = Join-Path -Path $driverPath -ChildPath $f
    if (Test-Path $fullPath) {
        Remove-Item -Path $fullPath -Force
        Write-Host "[+] Removed $fullPath"
    }
}

SOC Prime의 Detection as Code 플랫폼에 가입하세요 귀사의 비즈니스에 가장 중요한 위협에 대한 가시성을 개선하세요. 시작을 돕고 즉각적인 가치를 제공하기 위해 지금 SOC Prime 전문가와의 회의를 예약하세요.

무료 가입