3.1. 파워쉘 스크립트

초기 침투 과정에서 작업으로 등록된 VBE 악성코드는 C&C 서버에서 파워쉘 스크립트를 다운로드해 실행한다. 유포된 파워쉘 스크립트는 시스템 정보 유출이나 키로깅 등 직접적인 악성 행위를 하는 유형과, 크롬 원격 데스크톱이나 AnyDesk 등 원격 제어 도구를 설치하는 유형으로 나뉜다. 후자는 각 도구의 분석 섹션에서 함께 다룬다.

3.1.1. 시스템 정보 유출 스크립트

작업 등록 이후 처음으로 유포 및 실행되는 파워쉘 스크립트는 피해 시스템에 설치된 보안 프로그램과 시스템 정보를 조회해 결과를 C:\users\public\music\aaa.tmp 경로에 저장한다. 이후 추출된 정보를 Base64 인코딩 후 "="를 "%"로 치환해 아래 URL로 POST 전송한다.

• 파일 유출 C&C 서버: hxxp://103.77.242[.]187/receive.php

caption - 시스템 정보 유출 스크립트

3.1.2. 이메일 수집 스크립트

공격자는 로컬 메일함에서 메일 데이터를 수집하는 스크립트를 유포하였다. 확인된 메일 유출 스크립트는 메일 서비스 기준 2종으로, 각각 Thunderbird와 Outlook 메일 데이터를 수집한다. Thunderbird 이메일 수집 스크립트는 로컬에 mbox 포맷으로 저장된 이메일 아카이브 파일에서 From - \* 문자열을 기준으로 메일을 하나씩 추출해 eml 파일로 저장한다.

caption - Thunderbird 이메일 수집 스크립트 1

수신함에서는 약 55MB 분량의 최신 메일 데이터를 추출하여 C:\Users\Public\Music\Inbox\ 경로에 저장한다. 보낸 편지함에서는 약 100MB 분량의 최신 메일 데이터를 읽고 C:\Users\Public\Music\Sent\ 경로에 저장한다.

caption - Thunderbird 이메일 수집 스크립트 2

Outlook 이메일 수집 스크립트는 로컬 수신함 및 보낸 편지함에서 2026년 1월 1일 이후의 모든 이메일을 수집하고 첨부 파일을 분리하여 C:\users\public\music\mail\ 경로에 저장한다.

caption - Outlook 이메일 수집 스크립트 1

해당 스크립트는 계정 이름으로 하위 디렉토리를 생성하여 저장 경로를 분류한다. 이메일 본문 및 메타데이터는 개별 eml 파일이 아닌 계정별 email.csv 파일에 일괄적으로 저장하고, 첨부파일은 메일 본문과 분리하여 계정별 attachment\ 디렉토리에 저장한다.

caption - Outlook 이메일 수집 스크립트 2

3.1.3. 키로거 스크립트

분석 과정에서 공격자가 피해자의 비밀번호 등 키 입력 정보를 탈취하기 위해 사용한 키로거 스크립트가 확인되었다. 유포된 키로거 스크립트는 인라인된 C# 코드를 메모리에서 직접 컴파일해 실행한다. 해당 C# 코드는 키보드 입력을 후킹해 모든 키 입력 내용을 %appdata%\Microsoft\ttmp1.log 경로에 저장한다.

caption - 키로거 스크립트 1

키로거 스크립트에서 C&C 서버 전송 기능은 확인되지 않았으며, 추가 스크립트를 이용해 수집된 키로그 파일을 C&C 서버에 업로드했을 것으로 추정된다. 스크립트 내 C# 코드에서는 Masakoyoji.Komori라는 네임스페이스 이름이 확인되었다.

caption - 키로거 스크립트 2

3.2. 크롬 원격 데스크톱

공격자는 침해한 피해 서버에 크롬 원격 데스크톱을 설치하여 GUI 원격 제어를 수행하였다. 확보한 크롬 원격 데스크톱 설치 스크립트가 설치하는 파일 정보는 아래 표와 같다.

| 설치 경로 | URL | 파일 설명 |
| --- | --- | --- |
| c:\users\public\music\1.msi | hxxp://dl[.]google[.]com/edgedl/chrome-remote-desktop/chromeremotedesktophost.msi | 공식 크롬 원격 데스크톱 설치파일 |
| c:\users\public\music\1.bat | hxxp://103.249.117[.]183/1.bat | 크롬 원격 데스크톱 설치 및 공격자 계정 바인딩 배치 파일 |

| 설치 경로 | URL | 파일 설명 |
| --- | --- | --- |
| c:\users\public\music\1.msi | hxxp://dl[.]google[.]com/edgedl/chrome-remote-desktop/chromeremotedesktophost.msi | 공식 크롬 원격 데스크톱 설치파일 |
| c:\users\public\music\1.bat | hxxp://103.249.117[.]183/1.bat | 크롬 원격 데스크톱 설치 및 공격자 계정 바인딩 배치 파일 |

| 설치 경로 | URL | 파일 설명 |
| --- | --- | --- |
| c:\users\public\music\1.msi | hxxp://dl[.]google[.]com/edgedl/chrome-remote-desktop/chromeremotedesktophost.msi | 공식 크롬 원격 데스크톱 설치파일 |
| c:\users\public\music\1.bat | hxxp://103.249.117[.]183/1.bat | 크롬 원격 데스크톱 설치 및 공격자 계정 바인딩 배치 파일 |

caption - 크롬 원격 데스크톱 설치 관련 파일 목록

설치 스크립트는 fodhelper.exe를 이용해 UAC를 우회하고 관리자 권한으로 C&C 서버에서 다운로드한 배치 파일을 실행한다. fodhelper.exe는 UAC 프롬프트 없이 관리자 권한으로 실행되는 윈도우 바이너리인데, 실행 시 ms-settings 프로토콜 핸들러를 참조한다. 윈도우는 이 과정에서 HKCU\Software\Classes 보다 HKCU\Software\Classes를 우선 참조한다.

이때 HKCU\Software\Classes 경로의 레지스트리는 일반 사용자도 수정이 가능하기 때문에 ms-settings에 Curver 체이닝을 설정하여 최종적으로 .fax\Shell\Open\command가 1.bat를 가리키도록 구성하면, fodhelper.exe 실행 시 UAC 우회와 함께 1.bat가 관리자 권한으로 실행된다.

caption - fodhelper.exe를 이용한 UAC 우회 루틴

UAC 우회 이후 관리자 권한으로 실행되는 1.bat는 이미 설치된 크롬 원격 데스크톱 설치 파일인 1.msi를 실행하고, 크롬 원격 데스크톱을 시작한다. 바인딩 시 인증 데이터로 사용되는 명령줄 인자는 아래 표와 같다.

| 명령줄 인자 | 값 |
| --- | --- |
| code | 4/0AdkVLPzBKUSDVADc4Ru8idnLfXfKe6n0fpQrCTSXpbc3V5PSKEafp952MzQsKmOEr-bPGQ |
| redirect-url | hxxps://remotedesktop.google[.]com/\_/oauthredirect |
| name | okuta |
| pin | 001100

| 명령줄 인자 | 값 |
| --- | --- |
| code | 4/0AdkVLPzBKUSDVADc4Ru8idnLfXfKe6n0fpQrCTSXpbc3V5PSKEafp952MzQsKmOEr-bPGQ |
| redirect-url | hxxps://remotedesktop.google[.]com/\_/oauthredirect |
| name | okuta |
| pin | 001100

| 명령줄 인자 | 값 |
| --- | --- |
| code | 4/0AdkVLPzBKUSDVADc4Ru8idnLfXfKe6n0fpQrCTSXpbc3V5PSKEafp952MzQsKmOEr-bPGQ |
| redirect-url | hxxps://remotedesktop.google[.]com/\_/oauthredirect |
| name | okuta |
| pin | 001100

caption - 크롬 원격 데스크톱 바인딩 명령줄 인자

크롬 원격 데스크톱 설치 스크립트는 배치 파일 실행 후 크롬 원격 데스크톱이 제대로 설치되었는지 확인하기 위해 C:\Program Files (x86)\Google 경로의 디렉토리 리스팅 결과를 C:\users\public\music\bbb.tmp에 저장한다. bbb.tmp는 Base64 인코딩 후 "="를 "%"로 치환해 아래 URL의 C&C 서버로 POST 전송된다.

• C&C 서버 URL: hxxp://103.249.117[.]183/receive.php

3.3. Gmail 유출 크롬 확장 프로그램

공격자는 피해자의 Gmail 데이터를 자동으로 C&C 서버에 전송하는 악성 크롬 확장 프로그램을 설치하였다. 확장 프로그램을 구성하는 Javascript와 JSON 파일 전반에 걸쳐 상세한 한글 설명 및 디버깅 문자열이 포함되어 있어 공격자가 대부분의 코드를 생성형 AI로 작성했을 것으로 강하게 추정된다. 확보한 크롬 확장 프로그램의 manifest.json 파일은 아래와 같다.

{
  "manifest_version": 3,
  "name": "Gmail 자동 서버 업로더",
  "version": "2.2",
  "description": "새로 읽은 Gmail 이메일과 첨부파일을 안전한 HTTPS 서버로 전송합니다.",
  "permissions": [],
  "host_permissions": [
    "<all_urls>"
  ],
  "content_scripts": [
    {
      "matches": [
        "<all_urls>"
      ],
      "js": [
        "content.js"
      ]
    }
  ],
  "background": {
    "service_worker": "background.js"

{
  "manifest_version": 3,
  "name": "Gmail 자동 서버 업로더",
  "version": "2.2",
  "description": "새로 읽은 Gmail 이메일과 첨부파일을 안전한 HTTPS 서버로 전송합니다.",
  "permissions": [],
  "host_permissions": [
    "<all_urls>"
  ],
  "content_scripts": [
    {
      "matches": [
        "<all_urls>"
      ],
      "js": [
        "content.js"
      ]
    }
  ],
  "background": {
    "service_worker": "background.js"

{
  "manifest_version": 3,
  "name": "Gmail 자동 서버 업로더",
  "version": "2.2",
  "description": "새로 읽은 Gmail 이메일과 첨부파일을 안전한 HTTPS 서버로 전송합니다.",
  "permissions": [],
  "host_permissions": [
    "<all_urls>"
  ],
  "content_scripts": [
    {
      "matches": [
        "<all_urls>"
      ],
      "js": [
        "content.js"
      ]
    }
  ],
  "background": {
    "service_worker": "background.js"

확장 프로그램의 동작은 content.js, background.js 2개의 Javascript 파일로 분리되어 있다.

먼저 content.js는 Gmail 페이지 내부에서 작동하며 "보내기" 버튼과 메일 열람 화면을 감시한다. 감시 중 "보내기" 버튼을 누르면 작성 창에서 수신인, 제목, 본문, 첨부파일을 추출해 백그라운드에 전달한다. 첨부파일은 fetch를 통해 링크에서 다운로드한 뒤 Base64 인코딩하여 백그라운드에 전달한다.

caption - 보낸 Gmail 수집 루틴

감시 중 메일 열람 화면이 나타나면 발신자, 제목, 본문, 첨부파일을 추출해 백그라운드에 전달한다. fetch를 이용한 첨부파일 추출 및 전달 과정은 메일 발신 시 탈취 과정과 동일하다.

caption - 읽은 Gmail 수집 루틴

background.js는 백그라운드에서 동작하며 content.js가 전달한 이메일 데이터를 C&C 서버로 전송한다. 이메일 본문과 첨부파일은 type 파라미터를 통해 구분하며, 일본의 무료 호스팅 서버가 C&C 서버로 사용되었다.

• C&C 서버: hxxps://sweet-iki-4263.holy[.]jp/gmail.php

caption - Gmail 데이터 C&C 서버 전송 루틴

3.4. AnyDesk

분석 중 원격 제어 도구인 AnyDesk를 설치 및 실행하는 배치 스크립트가 확인되었다. AnyDesk는 크롬 원격 데스크톱과 마찬가지로 합법적인 원격 제어 도구이지만, Kimsuky를 포함한 여러 위협 행위자들이 탐지 우회 및 원격 제어에 악용하는 것으로 알려져 있다. 확보한 배치 스크립트는 아래와 같다.

caption - AnyDesk 설치에 사용된 배치 스크립트

배치 스크립트는 앞서 추가 악성코드로 소개하였던 5月9日資料.pdf.lnk가 통신하는 C&C 서버인 160.187.147[.]119에서 AnyDesk 설치를 위한 추가 파일들을 다운로드한다. 각 파일 별 정보는 아래 표와 같다.

| 파일명 | 설명 |
| --- | --- |
| app.vmd | default_an.ps1을 실행하는 VBScript |
| mnfst.vmd | AnyDesk를 실행 및 은닉하는 파워쉘 스크립트 |
| attach.vmd | 정상 AnyDesk 실행 파일 |
| sch.vmd | AnyDesk 인증서, 비밀번호 및 솔트 |
| vpost.vmd | AnyDesk 연결 정보 |
| bimage.vmd | default_an.vbs를 실행하는 작업 XML 파일

| 파일명 | 설명 |
| --- | --- |
| app.vmd | default_an.ps1을 실행하는 VBScript |
| mnfst.vmd | AnyDesk를 실행 및 은닉하는 파워쉘 스크립트 |
| attach.vmd | 정상 AnyDesk 실행 파일 |
| sch.vmd | AnyDesk 인증서, 비밀번호 및 솔트 |
| vpost.vmd | AnyDesk 연결 정보 |
| bimage.vmd | default_an.vbs를 실행하는 작업 XML 파일

| 파일명 | 설명 |
| --- | --- |
| app.vmd | default_an.ps1을 실행하는 VBScript |
| mnfst.vmd | AnyDesk를 실행 및 은닉하는 파워쉘 스크립트 |
| attach.vmd | 정상 AnyDesk 실행 파일 |
| sch.vmd | AnyDesk 인증서, 비밀번호 및 솔트 |
| vpost.vmd | AnyDesk 연결 정보 |
| bimage.vmd | default_an.vbs를 실행하는 작업 XML 파일

caption - AnyDesk 설치 관련 파일 목록

배치 스크립트는 bimage.vmd에 정의된 작업 정보를 이용해 User\_Feed\_Synchronization-{0DDC1BD9-E733-425C-B92B-ABAC149AB11232}라는 이름의 예약 작업을 등록한다. 이 작업은 5분 주기로 default\_an.vbs를 실행하며, default\_an.vbs는 다시 default\_an.ps1을 호출한다. default\_an.ps1은 MyAnyMutexName 뮤텍스로 중복 실행을 방지한 뒤 AnyDesk를 실행하고, 아래 단계에 따라 은닉한다.

1. 모든 창 이름을 탐색해 제목에 anydesk, Windows Security Alert, Windows 보안 경고가 포함된 창을 모두 숨김 처리한다.

2. 작업 표시줄의 AnyDesk 버튼을 제거한다.

3. 시스템 트레이 영역을 탐색해 AnyDesk 아이콘을 제거한다.