잘 알려진 정보 탈취 악성코드인 StealC의 판매자가 이제 Stadia RAT라는 새로운 제품을 제공하고 있다. Cybersecurity News의 보도에 따르면, 이 도구는 비밀번호 탈취와 함께 은밀한 데스크톱 제어, 파일 탐색, Windows PC에서의 원격 명령 실행 기능을 결합한다. Stadia RAT StealC 악성코드 조합이 중요한 이유는 일회성 데이터 탈취를 감염된 기계에 대한 지속적인 접근으로 바꿔놓기 때문이다.
원문 기사가 짧기 때문에, 이 글은 보도된 내용에 충실하면서 이러한 위협 유형의 일반적인 작동 방식을 쉬운 말로 설명한다.
Stadia RAT가 StealC에 추가하는 것
StealC는 정보 탈취 악성코드(인포스틸러)다. 컴퓨터에서 민감한 데이터를 조용히 수집해 공격자에게 전송하도록 만들어진 악성코드다. StealC의 판매자가 제공하는 Stadia RAT는 이 개념을 확장한다. RAT는 원격 접근 트로이 목마(remote access trojan)의 약자로, 공격자가 다른 사람의 컴퓨터를 은밀하게 제어할 수 있게 해주는 악성코드 유형이다.
보고서에 따르면, Stadia RAT는 여러 기능을 함께 제공한다:
- 비밀번호 탈취: 제품의 인포스틸러 측면을 그대로 이어받음
- 은밀한 데스크톱 제어: 공격자가 화면을 보고 상호작용할 수 있음
- 파일 탐색: 공격자가 감염된 PC의 폴더를 살펴볼 수 있음
- 원격 명령 실행: 공격자가 기계에서 명령을 실행할 수 있음
실질적인 변화는 치고 빠지기에서 지속적인 장악으로의 전환이다. 인포스틸러는 보통 실행되고, 수집할 수 있는 것을 모아 전송한 뒤 끝난다. RAT는 시스템에 남아 있을 수 있어, 공격자가 다시 돌아와 주변을 살피고 무엇이 가져갈 가치가 있는지 판단할 수 있게 한다.
인포스틸러가 비밀번호와 세션 쿠키를 탈취하는 방법
인포스틸러는 일반적으로 브라우저와 앱이 로그인 정보를 보관하는 위치를 노린다. 여기에는 저장된 비밀번호와 세션 쿠키가 포함된다. 세션 쿠키는 웹사이트에 이미 로그인되어 있다고 알려주는 작은 파일로, 매번 비밀번호를 입력하지 않아도 되게 해준다.
이것이 쿠키 탈취가 공격자에게 그토록 가치 있는 이유다. 범죄자가 유효한 세션 쿠키를 얻으면, 비밀번호를 몰라도 계정에 접근할 수 있으며, 사이트가 이미 로그인이 이루어졌다고 믿기 때문에 경우에 따라 다중 인증 프롬프트를 촉발하지 않고도 접근할 수 있다. 탈취된 자격 증명과 쿠키는 종종 묶여서 판매되거나 이메일, 은행, 소셜 미디어, 업무 계정을 탈취하는 데 직접 사용된다.
인포스틸러는 흔히 사람들이 실수로 신뢰하는 다운로드, 예컨대 크랙 소프트웨어, 가짜 설치 프로그램, 포럼과 채팅에서 공유된 파일 등을 통해 피해자에게 도달한다. 핵심은 사용자가 보통 스스로 악성코드를 실행한다는 점이며, 이것이 신중한 다운로드 습관이 기술적 방어만큼 중요한 이유다.
RAT가 Windows PC를 조용히 장악하는 방법
RAT가 실행되면, 공격자는 당신의 컴퓨터에 원격으로 자리를 잡는다. 데스크톱 제어로 그들은 당신이 하는 일을 지켜보거나 눈에 띄는 흔적 없이 시스템에서 행동할 수 있다. 파일 탐색을 통해 문서, 지갑 파일, 그 밖에 관심 있는 것을 찾을 수 있다. 원격 명령 실행을 통해 추가 악성코드 설치를 포함한 추가 지시를 내릴 수 있다.
마지막 항목이 RAT가 판돈을 높이는 이유다. 탈취된 비밀번호는 사후에 변경할 수 있지만, 실시간 접근 권한을 가진 공격자는 당신이 입력하는 새로운 로그인 정보를 계속 볼 수 있고 브라우저에 저장된 적 없는 파일에도 접근할 수 있다. 사후 정리는 비밀번호 하나를 바꾸는 것 이상을 의미한다. 해당 PC에서 사용된 모든 계정에 주의가 필요할 수 있다.
이러한 데이터 탈취 우선 활동은 인포스틸러에만 국한된 것이 아니다. 탈취된 데이터가 다른 위협을 어떻게 이끄는지에 대한 맥락은 Pear 랜섬웨어 그룹 분석을 참고하라. 이는 암호화보다 데이터 탈취에 집중한 그룹을 살펴본다.
이것이 당신에게 의미하는 것
Windows PC를 사용한다면, 주요 요점은 이 위협이 네트워크 연결이 아니라 당신의 기기를 노린다는 것이다. VPN은 기기와 VPN 서버 사이의 트래픽을 암호화하지만, 이미 설치된 악성코드를 막을 수는 없다. Stadia RAT나 유사한 도구가 기계에 설치되면, 트래픽이 암호화되기 전에 저장된 비밀번호, 쿠키, 파일을 직접 읽을 수 있다.
그렇다고 VPN이 무의미해지는 것은 아니다. 신뢰할 수 없는 네트워크에서 트래픽을 보호하는 한 계층으로서 여전히 유효하다. 다만 엔드포인트 안전을 대체하지는 못한다. 위에서 언급한 Pear 랜섬웨어 그룹 분석에도 같은 논리가 적용된다. 공격자가 침해된 시스템에서 데이터를 탈취할 때, 네트워크 프라이버시 도구는 관련된 방어 수단이 아니다.
위험을 줄이기 위한 실용적 단계
이 단계 중 어느 것도 기술적 전문 지식을 요구하지 않는다:
- 불법 복제 및 크랙 소프트웨어를 피하라. 공식 벤더 사이트나 신뢰할 수 있는 스토어에서만 프로그램을 다운로드하고, 포럼, 광고, 채팅 링크를 통해 공유된 설치 프로그램을 경계하라.
- 다중 인증(MFA)을 활성화하라. 비밀번호만 탈취된 경우에도 보호를 추가한다. 가능하면 앱 기반 또는 하드웨어 방식을 선호하라.
- 비밀번호 관리자를 사용하라. 고유한 비밀번호를 만드는 데 도움이 되고, 브라우저에 남아 있는 자격 증명의 수를 줄여준다.
- Windows와 보안 소프트웨어를 최신 상태로 유지하라. 평판 좋은 백신 또는 내장 Windows 보호 기능으로 정기적인 검사를 실행하라.
- 의심스러운 프로세스를 확인하라. 작업 관리자를 열어 리소스를 사용하는 낯선 프로그램을 찾거나, 어떤 앱이 Windows와 함께 시작되는지 검토하라. 뭔가 잘못된 것 같으면 무시하기 전에 조사하라.
- 감염이 의심되면 신속히 대응하라. 인터넷 연결을 끊고, 기기를 검사한 뒤, 깨끗한 기기에서 비밀번호를 변경하고 활성 세션에서 로그아웃하여 탈취된 쿠키가 작동하지 않게 하라.
결론
Stadia RAT의 등장은 자격 증명 탈취와 원격 제어가 어떻게 함께 패키징되고 있는지를 보여준다. Stadia RAT StealC 악성코드 조합은 PC를 최전선으로 취급해야 한다는 점을 상기시킨다. MFA를 활성화하고, 비밀번호 관리자를 사용하고, 불법 복제 소프트웨어를 피하고, 의심스러운 프로세스를 주시하라. VPN은 유용한 프라이버시 계층 하나이지만, 컴퓨터에서 이미 실행 중인 악성코드로부터 보호하지는 못한다.
