팔로우
Detection stack
- AIDR
- Alert
- ETL
- Query
요약
LummaStealer는 2025년 주요 법 집행 방해 이후 재등장한 정보 탈취 프로그램입니다. 최근 활동은 CastleLoader로 전환되었습니다. 이는 위조된 ‘크랙된’ 소프트웨어와 가짜 CAPTCHA 페이지와 같은 소셜 엔지니어링 유혹을 통해 LummaStealer를 전달하는 스크립트 기반 로더입니다. 이 체인은 메모리 내 실행, 공격적인 난독화, 그리고 두 악성코드 계열 간의 공유 인프라를 강조합니다. 방어자들은 비정상적인 DNS 동작에 대한 추적을 우선시할 수 있습니다, AutoIt 실행 흔적 및 일반적인 지속성 패턴을.
조사
Bitdefender 연구원들은 새로운 샘플을 분석하고 CastleLoader 을/를 LummaStealer의 주요 전달 메커니즘으로 확인했습니다. 에 작성된 AutoIt로더는 샌드박스 검사를 실행하고 로컬 AppData에 지속성을 설정하며 반복된 DNS 쿼리 실패를 통해 독특한 네트워크 신호를 생성합니다. 분석가들은 또한 GrayBravo연결된 서비스와 인프라 중복을 발견했습니다. 적절한 명령줄 문자열 및 코드 스니펫이 추출되어 탐지 규칙 개발을 지원했습니다.
완화
노출을 줄이기 위해 크랙 소프트웨어, 게임 설치 프로그램 및 기타 신뢰할 수 없는 미디어 패키지의 다운로드를 차단하십시오. 알 수 없는 실행을 방지하거나 엄격히 통제하고 파일 생성 모니터링 하십시오 AutoIt 스크립트를 하고, 아래에서 파일 생성을 모니터링하십시오 CraftStitch Studios Inc로 명명된 경로. 실행을 시키고, 의심스러운 DNS 조회 실패와 관련된 악성 IP 인프라를 감지하거나 차단하도록 네트워크 제어를 적용하십시오. MFA and rotate credentials after suspected compromise. Apply network controls to flag or block the characteristic failed DNS lookups and the associated malicious IP infrastructure.
대응
CastleLoader 또는 LummaStealer 아티팩트가 발견되면, 호스트를 격리하고, 의심스러운 AutoIt 프로세스를 중지하고, 지속성 아티팩트를 제거하십시오 %LocalAppData%CraftStitch Studios Inc에서. 드롭된 페이로드, 관련 네트워크 텔레메트리 및 생성된 바로가기를 수집하여 증거를 보존하십시오. 노출된 자격을 재설정하고 활성 브라우저 세션을 무효화하십시오. 추가 영향을 받은 호스트를 식별하기 위해 추출된 IOC를 사용하여 탐지를 업데이트하십시오.
"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef operator fill:#ff9900 classDef builtin fill:#cccccc %% Nodes u2013 Initial Access init_user_execution["<b>Action</b> – <b>T1204 User Execution</b>: Victims run fake cracked software or game/movie installers.<br/><b>Description</b>: Execution of malicious code by the user."] class init_user_execution action init_mal_copy_paste["<b>Action</b> – <b>T1204.004 Malicious Copy and Paste</b>: Users follow ClickFix CAPTCHA instructions to copy and paste malicious commands.<br/><b>Description</b>: Attacker guides victim to execute attackeru2011controlled code."] class init_mal_copy_paste action %% Nodes u2013 Loader Deployment loader_autoit["<b>Tool</b> – <b>T1059.010 AutoIt Interpreter</b>: Compiled CastleLoader script.<br/><b>Description</b>: Executes heavily obfuscated AutoIt code."] class loader_autoit tool obfuscation["<b>Action</b> – <b>T1027.009 Embedded Payloads</b>: Obfuscated AutoIt script hides malicious payload.<br/><b>Description</b>: Uses encoding and packing to evade analysis."] class obfuscation action masquerading["<b>Action</b> – <b>T1036 Masquerading</b>: Loader disguised as a legitimate installer with common software extensions.<br/><b>Description</b>: Appears benign to the user and security tools."] class masquerading action %% Nodes u2013 Persistence persistence_shortcut["<b>Action</b> – <b>T1547.009 Shortcut Modification</b>: Creates .lnk and .url files in the Startup folder.<br/><b>Description</b>: Persists by launching on user logon."] class persistence_shortcut action persistence_task["<b>Action</b> – <b>T1053 Scheduled Task</b>: VBA script registers a scheduled task for repeated execution.<br/><b>Description</b>: Runs payload at defined intervals."] class persistence_task action persistence_init["<b>Action</b> – <b>T1037 Logon Initialization Scripts</b> and <b>T1547.014 Active Setup</b>: Executes scripts during user logon via registry keys.<br/><b>Description</b>: Ensures code runs each login."] class persistence_init action hijack_execution["<b>Action</b> – <b>T1574 Hijack Execution Flow</b>: Reflective loading of the malicious payload into memory.<br/><b>Description</b>: Executes without writing files to disk."] class hijack_execution action %% Nodes u2013 Defense Evasion defense_virtual["<b>Action</b> – <b>T1497 Virtualization/Sandbox Evasion</b> and <b>T1497.002 User Activity Checks</b>: Detects analysis environment and aborts execution.<br/><b>Description</b>: Avoids sandbox detection."] class defense_virtual action defense_reflective["<b>Action</b> – <b>T1620 Reflective Code Loading</b>: Loads code via reflection to hide activity.<br/><b>Description</b>: Bypasses static analysis tools."] class defense_reflective action %% Nodes u2013 Command and Control c2_dga["<b>Action</b> – <b>T1568.002 Domain Generation Algorithms</b>: Generates pseudou2011random domains causing failed DNS lookups.<br/><b>Description</b>: Provides dynamic C2 endpoints."] class c2_dga action c2_dns["<b>Action</b> – <b>T1071.004 DNS Protocol</b>: Communicates over DNS queries and responses.<br/><b>Description</b>: Uses applicationu2011layer DNS for C2."] class c2_dns action c2_web["<b>Action</b> – <b>T1102 Web Service</b>: Bidirectional communication via HTTPS web service.<br/><b>Description</b>: Serves as primary C2 channel."] class c2_web action %% Nodes u2013 Credential Access cred_browser["<b>Action</b> – <b>T1555.003 Credentials from Web Browsers</b>: Steals stored passwords, cryptou2011wallet files and session data.<br/><b>Description</b>: Extracts credentials from Chrome, Firefox, etc."] class cred_browser action cred_cookie["<b>Action</b> – <b>T1550.004 Web Session Cookie</b>: Uses stolen cookies as alternate authentication material.<br/><b>Description</b>: Reu2011uses valid web sessions."] class cred_cookie action forge_cookie["<b>Action</b> – <b>T1606.001 Forge Web Credentials</b>: Creates forged cookies to impersonate victims.<br/><b>Description</b>: Enables unauthorized access to web services."] class forge_cookie action %% Nodes u2013 Exfiltration exfil_c2["<b>Action</b> – <b>T1041 Exfiltration Over C2 Channel</b>: Sends harvested data through the webu2011service C2.<br/><b>Description</b>: Data leaves the network via the same channel used for command and control."] class exfil_c2 action %% Connections u2013 Attack Flow init_user_execution –>|leads_to| loader_autoit init_mal_copy_paste –>|leads_to| loader_autoit loader_autoit –>|uses| obfuscation loader_autoit –>|masquerades_as| masquerading loader_autoit –>|establishes| persistence_shortcut loader_autoit –>|establishes| persistence_task loader_autoit –>|establishes| persistence_init persistence_shortcut –>|enables| hijack_execution persistence_task –>|enables| hijack_execution persistence_init –>|enables| hijack_execution hijack_execution –>|employs| defense_virtual hijack_execution –>|employs| defense_reflective hijack_execution –>|connects_to| c2_dga c2_dga –>|resolves_via| c2_dns c2_dns –>|communicates_via| c2_web c2_web –>|steals| cred_browser c2_web –>|captures| cred_cookie c2_web –>|enables| forge_cookie cred_browser –>|provides| exfil_c2 cred_cookie –>|provides| exfil_c2 forge_cookie –>|provides| exfil_c2 %% Styling class init_user_execution,init_mal_copy_paste action class loader_autoit,obfuscation,masquerading tool class persistence_shortcut,persistence_task,persistence_init,hijack_execution,defense_virtual,defense_reflective,cred_browser,cred_cookie,forge_cookie action class c2_dga,c2_dns,c2_web,exfil_c2 action "
공격 흐름
탐지
가능한 백신 프로세스 열거 / 조작 (명령줄로)
보기
가능한 AutoHotkey 스크립트 실행 시도 (명령줄로)
보기
비정상적인 실행 파일 바이너리 확장 (프로세스 생성으로)
보기
Schtasks 가 의심스러운 디렉토리 / 바이너리 / 스크립트를 지시 (명령줄로)
보기
LOLBAS WScript / CScript (프로세스 생성으로)
보기
AutoIT 바이너리가 비정상적인 위치에서 실행됨 (프로세스 생성으로)
보기
의심스러운 Powershell 문자열 (명령줄로)
보기
LummaStealer가 CastleLoader와 함께 두 번째 삶을 얻고 있다는 것을 감지할 수 있는 IOCs (소스IP)
보기
LummaStealer가 CastleLoader와 함께 두 번째 삶을 얻고 있다는 것을 감지할 수 있는 IOCs (목적지IP)
보기
프로세스 실행을 통한 LummaStealer 및 CastleLoader 활동 탐지 [Windows 프로세스 생성]
보기
악성 PowerShell 원라이너 실행 탐지 [Windows Powershell]
보기
시뮬레이션 실행
전제조건: 텔레메트리 및 기준선 사전 비행 점검이 통과해야 합니다.
이유: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적대 기술(TTP)의 정확한 실행을 세부적으로 설명합니다. 명령과 내러티브는 식별된 TTP를 직접 반영해야 하며 탐지 로직에 의해 기대되는 정확한 텔레메트리를 생성하는 데 목표를 두어야 합니다. 추상적이거나 관련 없는 예시는 오진으로 이어질 것입니다.
-
공격 내러티브 및 명령:
- 초기 드롭: 공격자는 사용자 컨텍스트(예: 피싱을 통해)를 얻고 합법적인
explorer.exe프로세스를 사용하여 마운트된 네트워크 공유에 있는 악성 페이로드를 실행합니다:DeviceHarddiskVolumeXNFSNeed for Speed Hot PursuitSetup.exe. - 지속성 및 실행기: 악성
Setup.exe가 실행되면, 동일한 디렉토리에 배치 스크립트(Pros.cmd)를 떨어뜨립니다. 공격자는 아래를 사용합니다cmd.exe /c copy Pros Pros.cmd & Pros.cmd를 스크립트를 실행하여 추가 페이로드를 로딩합니다. - AutoIt 프록시: 동시에, 로더는
AutoIt3.exe와 내장 스크립트(V.a3x)를 호출하여 AppLocker를 우회할 수 있습니다. 이는selection_autoit상태를 반영합니다.
이 단계는 Sigma 규칙에 요구되는 정확한 세 가지 텔레메트리 패턴을 생성합니다:
explorer.exe하드 코딩된 악성 Setup.exe 경로와 함께, andcmd.exe와/c와 짝지어진 or 복사 및 실행 체인
- 초기 드롭: 공격자는 사용자 컨텍스트(예: 피싱을 통해)를 얻고 합법적인
-
회귀 테스트 스크립트:
# ----------------------------------------------- # LummaStealer / CastleLoader 시뮬레이션 스크립트 # ----------------------------------------------- $maliciousDir = "$env:ProgramDataNFSNeed for Speed Hot Pursuit" $setupPath = Join-Path $maliciousDir "Setup.exe" $batchPath = Join-Path $maliciousDir "Pros.cmd" $autoItPath = Join-Path $maliciousDir "V.a3x" # 1. 디렉토리 구조 생성 New-Item -Path $maliciousDir -ItemType Directory -Force | Out-Null # 2. 더미 악성 파일 배치 (로깅을 위한 빈 파일로 충분) New-Item -Path $setupPath -ItemType File -Force | Out-Null New-Item -Path $batchPath -ItemType File -Force | Out-Null New-Item -Path $autoItPath -ItemType File -Force | Out-Null # 3. explorer.exe가 악성 Setup.exe를 실행하는 시뮬레이션 Start-Process -FilePath "explorer.exe" -ArgumentList $setupPath # 첫 번째 이벤트가 로깅되도록 잠시 멈춤 Start-Sleep -Seconds 2 # 4a. cmd.exe 복사 및 실행 체인 트리거 cmd.exe /c "copy Pros.cmd $batchPath & $batchPath" # 4b. (대안) AutoIt 실행 트리거 – 이 경로를 테스트하는 경우 언코멘트 # Start-Process -FilePath "AutoIt3.exe" -ArgumentList $autoItPath # 5. 이벤트가 SIEM으로 흐르도록 대기 Start-Sleep -Seconds 5 -
정리 명령:
# 시뮬레이션에서 생성한 모든 아티팩트 제거 Remove-Item -Path "$env:ProgramDataNFS" -Recurse -Force -ErrorAction SilentlyContinue