지역 언어팩을 제공하는 Tor 설치 프로그램

(출처 : bleepingcomputer)

Tor Browser 클립보드 인젝션 설치과정 

피해자는 타사 서버 에서 받은 Tor Browser 설치파일을 실행합니다. 설치 프로그램의 이름은 torbrowser.exe가 아닌 torbrowser_ru.exe 같은 이름으로 현지화 되어 있으며 사용자가 원하는 언어를 선택할 수 있는 언어 팩이 포함되어 있습니다 

아카이브에는 다음 파일이 포함되어 있습니다.

•Torbrowser.exe 설치 프로그램

•명령줄 RAR 추출 도구

•암호로 보호된 RAR 아카이브  

torbrowser.exe 설치를 시작하는 동시에 내장 암호로 보호된 RAR 아카이브에서 RAR 추출 도구를 실행합니다. 암호로 보호하는 목적은 바이러스 백신 솔루션에 의한 정적 서명 검색을 피하기 위해서 입니다. 

대부분의 경우 실행 파일은 uTorrent와 같은 인기 있는 응용 프로 그램의 아이콘으로 위장됩니다. 

주소를 감지하고 교체하는 정규식

(출처 : grahamcluley)

클립보드 인젝션 실행 과정

보통 암호 화폐 주소는 길고 입력하기가 복잡하기 때문에 클립 보드에 복사한 다음 다른 프로그램이나 웹사이트에 붙여넣는 것이 일반적입니다.

멀웨어는 정규식을 사용하여 클립보드에서 인식 가능한 암호 화폐 지갑 주소를 모니터링하고, 사용자가 암호 화폐 주소를 붙여 넣으면 하드코딩된 목록에서 임의로 선택한 암호 화폐 주소로 대체됩니다. 공격자가 하드코딩된 목록에서 무작위로 선택된 각 멀웨어 샘플에 수천 개의 주소를 사용하는 것은 지갑 추적을 어렵게 만 듭니다.

멀웨어에 시스템이 감염되었는지 확인하는 방법

(출처 : thehackernews)

 사용자가 감염되었는지 확인하는 간단한 테스트는 bc1heymalwarehowaboutyoureplacethisaddress를 복사하고 메모장을 열어 붙여넣기를 합니다. 기존에 복사했던 것이 아닌 다른 주소가 붙여 넣기가 되면 클립보드 인젝션 멀웨어에 의해 내 컴퓨터의 시스템이 손상되었다고 확인할 수 있습니다. 모든 클립보드 인젝션의 피해자는 Tor Browser의 공식 홈페이지가 아닌 다른 경로에서 설치를 하여 감염이 되었습니다. 따라서 신뢰할 수 있는 공식 출처의 소프트웨어만 설치하는 것이 좋습니다.