2022-02-25 Fri

2022-02-25 Fri

1. 새로운 info stealer “ColdStealer” 배포중

Reference: https://asec.ahnlab.com/en/32090/

새로운 형태의 정보 탈취형 악성코드 ColdStealer의 배포가 확인되었다. 해당 악성코드는 이전의 몇몇 유형과 유사하게 크랙 다운로드 소프트웨어나 툴등을 이용하여 배포되었다.

크랙으로 위장하는 악성코드들은 주로 두가지 유형으로 배포가 되었는데 첫번째는 CryptoBot 이나 RedLine 과 같은 싱글 타입의 악성코드로 배포 된 경우, 두번째는 드로퍼 형식으로 배포되는 경우이다. ColdStealer는 드로퍼 형식으로 배포 되었다.

실제 다운로더 역할을 하는 악성코드는 드로퍼에 포함이 되어있으며, 다운로더가 실행되면 ColdStealer를 C2 서버에서 다운받게 된다.

악성코드는 .NET으로 구성되어 있으며, 정보를 수집할 때 메모리에 파일이 아닌 ZIP 형식으로 저장하여 탐지를 우회한다. 주요 기능으로는 브라우저 정보, 암호화폐 지갑정보, 파일, FTP 서버 정보, 시스템 정보, 에러 정보 등을 탈취한다.

IOC

Downloader

1578ad8f244ae82c36e3feadeb7d66e3
8f021266830397dac3e34f1b3bdde60c
05c97434f3c6970103a3ceda97572481
529951790a4a6da8743af98a24c4088e
a141acc27f79584575a7d2af634be917
8550ebb8f4f5b377df3a3492dbc08f63
511b48b4471e8ab08a4ec6495157f62a
0b3b4b02ed9d4844ec53a3f2a7064432
8e0486fb2291090d4411f58aa030dd23
90f31a31dee14f1efc80e7f121a44763
e23b0bab2ebcff10bc39f95cb92e6d9f
28f7a338c703cf695e776108a7dc3f00
5ccb4a79accca8b6fdc364042705b1a9
7789b3c473654e3251b102083d49128a
50920220980a2c188fb88ba770a72ded
452aeffb5c3c564988b0b7686a1433e9
2ef96ecfe9a2d05bfc24a936a97e66f1
fb0dcc61efe76eccef9b7fa20514a1b9
ac34f72d560a282b919da74e2f5ef8e1
3144517e723720c79c5f975a629cd2d7
f1006f3968f9edf76090e34702e647e6
03c3f6369b934cf86576c394e9172359

ColdStealer

758f815f3775e1b063eba3ab33479a9f
0d34d8571c6998796a2edb212a8037f5
6953629af9858647b65c47ae738334db
f94e8d62921d078c58860ffc2374a357
50f2b28aba4d4cb47544bcc98980a63e
9ec150a4c04da6a1087a3cd36086fde3
79a9f2ae5af2b370eea6c7fc6681e3ef
3b94bf347edcc8f137741989de3eb882
485edc4695212c4e97cf2e841661151c
a48f8e50e74b3792eeaffc6d25ca0080
dc2cbd65ca5411b8a9326338c74c7758
940d63f67b70b37e7ee662b851ae389b
05748b4e8730bb2a705fe1e2e00c5d77
8f0f4e736d83e296b55802c2337f341b
01144efd1dc06a0b9d3ea8a1e632dc26
cd9ba1e78dab227e2fda2cf952adcab4

C2

hxxp://jordanserver232[.]com
hxxp://realacademicmediausa[.]com
hxxp://topexpertshop[.]com
hxxp://realmoneycreate[.]xyz
hxxp://thehomenow[.]xyz
hxxp://real -enter-solutions[.]xyz
hxxp://enter-me[.]xyz