SolanaCry 악성코드, 웹 브라우징 AI 에이전트에서 암호화폐 지갑 탈취

요약

악성코드 운영자들은 합법적인 스타터 키트로 위장한 GitHub 저장소를 통해 AI 코딩 에이전트를 노리고 있습니다. AI 에이전트가 이러한 저장소를 발견하고 선택하면, README에 포함된 악성 PowerShell 명령이 실행되어 NetSupport Manager RAT가 배포될 수 있습니다. 이는 공격자에게 피해자의 시스템에 대한 원격 액세스 권한을 부여하고 암호화폐 지갑의 탈취를 가능하게 합니다.

조사

연구원들은 GitHub에서 악성 Solana 스타터 키트 저장소를 발견했으며, 이는 파일리스 페이로드를 다운로드 및 실행하는 PowerShell 원라이너를 포함하고 있습니다. 조사를 통해 숨겨진 준비 디렉터리에 14개의 NetSupport Manager 구성 요소를 추출하는 21MB의 PowerShell 드로퍼를 회수했습니다. 구성 파일의 분석 결과, EVALUSION 위협 클러스터와 관련된 특정 RADIUS 시크릿도 밝혀졌습니다.

완화책

개발자는 검색 결과 및 README 파일을 포함해 AI 에이전트가 처리한 모든 콘텐츠를 신뢰할 수 없는 입력으로 취급해야 합니다. 조직은 에이전트가 실행하는 컨텍스트와 명령을 모니터링하고 제한하는 보안 제어를 구현해야 합니다. 에이전트는 명시적인 인간 검토 없이 원격 코드를 다운로드하고 실행할 수 없어야 합니다.

대응

손상 의심시, 즉시 네트워크에서 영향을 받은 기기를 분리하십시오. 숨겨진 준비 디렉터리를 삭제하십시오 %LOCALAPPDATA% 및 관련 지속성 레지스트리 키를 제거하십시오. 가장 중요한 것은 손상된 시스템에서 접근 가능한 모든 자격 증명, 토큰 및 암호화폐 지갑 키를 교체하는 것입니다.

시뮬레이션 실행

• 공격 내러티브 및 명령: 적은 사용자의 워크스테이션에 초기 액세스를 성공적으로 얻었습니다. 재부팅 중에도 액세스를 유지하기 위해 공격자는 SolanaCry 지속성 방법을 사용할 계획입니다. 이들은 다음에 대한 레지스트리 값을 작성하려고 합니다 HKCUSoftwareMicrosoftWindowsCurrentVersionRun 이름으로 SecureModule 악성 실행 파일을 가리키고 있습니다. 이는 기본 파일 시스템 스캐너에 의해 탐지되지 않도록 표준 Windows 레지스트리 하이브 내에 지속성 메커니즘을 숨기려는 “Living off the Registry” 기술입니다.

• 회귀 테스트 스크립트:

  # SolanaCry 지속성을 모방하기 위한 시뮬레이션 스크립트
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] SolanaCry 지속성을 시뮬레이트하려는 시도 중..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] 성공: 레지스트리 키 '$name' 생성됨. 탐지가 트리거되어야 합니다." -ForegroundColor Green
  } catch {
      Write-Host "[-] 레지스트리 키 생성 실패: $($_.Exception.Message)" -ForegroundColor Red
  }

• 정리 명령:

  # 시뮬레이션 지속성을 제거하기 위한 정리 스크립트
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] 정리 완료: 시뮬레이션된 레지스트리 키 제거됨." -ForegroundColor Cyan
  } else {
      Write-Host "[-] 정리 건너뜀: 키를 찾을 수 없음." -ForegroundColor Yellow
  }