엔비디아 소프트웨어 위장, 윈도우 호스트 제어하는 신종 ‘라부바RAT’ 포착

요약 : 보안 기업 블랙포인트사이버(Blackpoint Cyber)가 엔비디아 정상 소프트웨어 「nvidia-sysruntime.exe」로 위장한 러스트(Rust) 기반 신종 원격 제어 악성코드(RAT) 「라부바RAT(LabubaRAT)」을 발견했으며, 이 악성코드는 HTTPS·WebView2·DNS 터널링 등 다중 통신 경로를 지원해 하나의 경로가 차단되어도 제어권을 유지하는 탐지 회피 능력을 갖췄고 「서비스형 악성코드(MaaS)」로 제공되는 정황도 포착되었으며, C2 서버 정보를 바이너리에 하드코딩하지 않고 실행 시 명령줄 인수나 Base64 인코딩 단일 인수로 런타임 구성을 주입받는 방식을 통해 재컴파일 없이 동일 바이너리를 무한 재사용할 수 있고, 감염 후 로컬 SQLite DB에 설정을 저장한 뒤 크롬·엣지 브라우저 정보·UAC 상태·하드웨어 사양과 마이크로소프트 디펜더·크라우드스트라이크·센티넬원 등 설치된 보안 제품을 프로파일링하고, 별도 후속 도구 없이 파워쉘·자바스크립트 실행·스크린샷 캡처·SOCKS5 프록시 등을 독립 수행하는 완성도 높은 프레임워크 구조라는 것이 기사의 주된 메시지입니다.

느낀점/소감 : RAT관련해서도 아직 지식이 부족해 좀더 공부하면 좋을것같다. 그리고 서버 정보들을 바이너리에 하드코딩하지않고 실행시 명령줄 인수나 Base64 인코딩 방법으로 우회가 가능하다는걸 알게되어 좋은 학습거리가 생겼다.