Armorsteal 멀웨어 분석: 데이터 절도 및 크립토 채굴을 위한 Python 툴킷

요약

Armorsteal은 데이터 유출 및 암호화폐 채굴을 위해 설계된 고급 Python 기반 멀웨어 키트입니다. PyArmor를 사용하여 악성 스크립트를 난독화하고 명령 및 제어를 위한 우선순위 기반 도메인 장애 조치 메커니즘에 의존합니다. 이 툴킷에는 Discord 토큰, 브라우저 자격 증명, 암호화폐 지갑을 훔치고 키 입력을 캡처하는 전용 모듈이 포함되어 있습니다.

조사

연구자들은 손상된 Windows 호스트를 분석하여 시스템 헬스 디렉토리에 저장된 Python 기반 멀웨어 키트를 참조하는 세 개의 악성 예약 작업을 발견했습니다. 그들은 PyArmor로 보호된 스크립트를 해독하여 컨트롤러, 채굴 관리자, 스파이 모듈 및 스틸러의 모듈형 동작을 노출했습니다. 조사는 또한 클라우드 공급자 검사 및 보안 모니터링 도구의 자동 비활성화를 포함하는 회피 방법을 드러냈습니다.

완화

조직은 PowerShell 실행에 대한 엄격한 제어를 시행하고 의심스러운 예약 작업을 모니터링해야 합니다. 알려진 악성 도메인을 차단하고 Windows Defender 제외사항에 대한 무단 변경을 감지하는 것은 중요한 방어 조치입니다. 신뢰할 수 없는 휴대용 Python 환경 사용을 제한하는 것도 사용 가능한 공격 표면을 줄이는 데 도움이 될 수 있습니다.

대응

Armorsteal 활동이 감지되면 추가 데이터 유출이나 암호화폐 채굴을 중지하기 위해 영향을 받은 호스트를 즉시 격리하십시오. 예약 작업을 조사하십시오. SysCheck2, SysCheckX, 및 SysHeal. 허가되지 않은 항목에 대해 Windows Defender 제외 목록을 검토하고 손상된 시스템에서 접근한 모든 계정의 자격 증명을 재설정하십시오.