[해외보안뉴스] Lunex 정보 탈취 악성코드, AMD 드라이버 악용해 보안 모니터링 무력화 및 브라우저 자격 증명 탈취
· 2026-09-26 19:00
· 조회 22
· 원문 ↗
우크라이나 웹사이트를 통해 유포 중인 'Psychedelic Stealer' 악성코드가 'Lunex'라는 서비스형 악성코드(MaaS, Malware-as-a-Service) 플랫폼의 일부인 것으로 확인되었습니다. 보안 기업 Ontinue의 연구 결과에 따르면, 이번 공격은 우크라이나어 사용자를 주요 타깃으로 삼아 정식 AMD 드라이버의 취약점을 악용하고 보안 솔루션을 우회한 뒤 웹 브라우저 자격 증명을 탈취하는 4단계 공격 체인으로 구성되어 있습니다.
공격은 해킹된 웹사이트에서 Cloudflare 인증을 위장한 가짜 CAPTCHA 페이지(ClickFix 형태)를 노출하며 시작됩니다. 사용자가 신뢰할 수 없는 사이트에서 제시하는 지침에 따라 클립보드에 복사된 악성 명령어(PowerShell 등)를 직접 실행하도록 유도하는 방식입니다. 이후 공격자는 취약점이 있는 AMD 드라이버를 시스템에 로드하는 BYOVD(Bring Your Own Vulnerable Driver) 기법을 사용하여 보안 제품의 모니터링 기능을 비활성화하고, 웹 브라우저에 저장된 쿠키, 로그인 계정 정보 및 암호화화폐 지갑 데이터 등을 탈취합니다.
이러한 피해를 예방하기 위해 사용자는 웹사이트 방문 중 CAPTCHA 인증을 이유로 단축키 입력이나 명령 프롬프트 실행을 요구할 경우 절대 이에 응하지 않아야 합니다. 또한 기업 및 기관의 보안 관리자는 취약한 드라이버의 로드를 차단할 수 있도록 취약 드라이버 차단 목록(Driver Blocklist)을 최신 상태로 유지하고, 커널 수준의 이상 행위 및 보안 솔루션의 무단 비활성화 시도를 감지할 수 있도록 엔드포인트 보안 설정을 강화해야 합니다.
정상적인 AMD 드라이버를 악용해 보안 모니터링을 무력화하는 BYOVD(Bring Your Own Vulnerable Driver) 공격에 대응하려면, 최신 드라이버 차단 목록(Vulnerable Driver Blocklist) 적용과 커널 보호 정책 강화가 시급합니다.
개발 관점에서는 브라우저 내 자격 증명이 단순 로컬 암호화에 의존하지 않도록 DPAPI나 TPM 기반의 하드웨어 바인딩 인증 아키텍처를 도입해 탈취 위험을 최소화해야 합니다.
또한, Fake CAPTCHA를 통한 악성 스크립트 실행을 차단할 수 있도록 파워셸 execution-policy 설정과 ASR(공격 표면 축소) 규칙을 엔드포인트 환경에 적용하는 검토가 필요합니다.
ClickFix 방식의 사회공학 기법으로 초기 침투를 유도한 뒤, AMD의 취약한 정식 드라이버를 악용(BYOVD)하여 커널 권한에서 EDR 등 보안 모니터링을 무력화하는 공격 체인이 매우 위협적입니다.
커널 수준에서 감시를 차단하기 때문에 후속 브라우저 자격 증명 탈취 과정이 탐지 없이 안정적으로 수행될 수 있습니다.
레드팀 관점에서도 사용자 심리 허점과 서명된 드라이버의 방어 우회 특성을 결합한 이러한 공격 모델은 높은 침투 성공률을 보일 수 있어 주목할 필요가 있습니다.
정상 드라이버를 악용해 보안 모니터링을 무력화(BYOVD)하고 계정을 탈취하는 공격은 조직의 보안 감시 체계에 심각한 리스크를 초래합니다. 우선적으로 사내 취약 드라이버 차단 정책(Vulnerable Driver Blocklist)을 최신화하고, 계정 정보 유출에 대비해 MFA 적용 범위를 재점검해야 합니다. 아울러 ClickFix와 같은 신종 사회공학적 피싱에 대비해 임직원 보안 인식 교육과 엔드포인트 탐지·대응(EDR) 거버넌스를 강화하겠습니다.