워든 스틸러: AI 에이전트 데이터에 대한 갈증으로 빠르게 떠오르는 정보유출 침입자

요약

Warden Stealer는 Windows 시스템을 대상으로 하는 신생 Rust 기반 malware-as-a-service 정보 유출 소프트웨어입니다. 이 악성코드는 AI 조수 및 에이전트 기반 코딩 도구에서 구성 파일과 로컬 데이터를 수집하는 것으로 주목받고 있습니다. 또한 내장된 로더 및 암호화폐 클리퍼를 포함하고 있어 자격 증명 도용 및 수익 창출 기능을 확장합니다.

조사

연구자들은 기술적 발견과 지하 포럼 광고 및 위협 행위자 인터뷰를 연관시켜 Warden Stealer를 식별했습니다. 속성은 독특한 Rust 구현, 코드 변형 기능, 특정 암호화폐 클리퍼 구성을 통해 CallbackBeaver 악성 코드와 Warden Stealer를 연결했습니다. 조사는 또한 애플리케이션 종속 암호화 (ABE) 우회 기술과 고급 로더 인젝션 방법을 문서화했습니다.

완화

조직은 explorer.exe와 같은 합법적인 프로세스에 대한 의심스러운 프로세스 인젝션과 certutil.exe의 무단 사용을 모니터링해야 합니다. 엔드포인트 보안 통제는 또한 잠재적인 ABE 우회 활동과 관련된 비정상적인 메모리 접근 패턴을 감지해야 합니다. AI 에이전트 구성 파일을 보호하고 노출되었거나 고가치 액세스 토큰을 회전시키는 것은 자격 증명 도용의 위험을 줄이는 데 도움이 됩니다.

응답

Warden Stealer 활동이 감지되면 영향을 받은 Windows 엔드포인트를 격리하여 추가 데이터 유출 또는 측면 이동을 방지하십시오. 메모리 포렌식 작업을 수행하여 삽입된 페이로드를 식별하고 %TEMP%에서 무단 이진 파일을 조사하십시오. 노출되었을 수 있는 브라우저 저장된 자격 증명, 세션 쿠키, 특히 AI 에이전트 액세스 및 갱신 토큰을 회전시키십시오.

시뮬레이션 실행

• 공격 서사 및 명령: 공격자는 Warden Stealer 페이로드를 성공적으로 실행했습니다. 파일 기반 서명을 통한 탐지를 피하기 위해 악성 코드는 합법적인 프로세스 내에 숨기 위해 프로세스 인젝션을 사용합니다. 설립되면 악성 코드는 스틸된 자격 증명을 유출하기 위해 명령 및 제어 (C2) 서버에 연락을 시도합니다. 이 탐지 규칙을 검증하기 위해, 우리는 알려진 악성 도메인으로의 접속을 시작하는 프로세스를 시뮬레이션할 것입니다 skibidistealer.team 포트 443을 통해. 이 작업은 탐지 논리의 일치를 유발하도록 설계되었습니다. 탐지 논리와 일치함을 유도하기 위한 것입니다.

• 회귀 테스트 스크립트:

  # Warden Stealer C2 시뮬레이션 스크립트
  # 이 스크립트는 블랙리스트된 Warden Stealer 도메인에 연결하는 프로세스를 시뮬레이션합니다.
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] $C2_Domain에서 포트 $Port에 대한 C2 통신 시뮬레이션 시작..." -ForegroundColor Cyan
  
  try {
      # 우리는 악성 도메인에 대한 HTTPS를 통한 프로세스의 동작을 흉내내기 위해 표준 웹 요청을 사용합니다.
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] 연결 성공 (시뮬레이션용)." -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "Could not create SSL/TLS secure channel" -or $_.Exception.Message -match "Unable to connect") {
          Write-Host "[+] 연결 시도 및 예상대로 차단 / 실패 (도메인이 존재하지 않을 가능성)." -ForegroundColor Yellow
      } else {
          Write-Host "[-] 오류 발생: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] 시뮬레이션 완료." -ForegroundColor Cyan

• 정리 명령:

  # 이 시뮬레이션 스크립트는 어떠한 지속적인 변경도 하지 않습니다.
  # 임시 네트워크 연결이 닫혀 있는지 확인하십시오.
  Write-Host "[+] 시뮬레이션 아티팩트를 정리 중..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue