← 위협인사이트 목록으로 돌아가기보안콘텐츠 · 위협인사이트

위협 인사이트

VMR-2026-002: Formbook — Credential Access

AX Security Lab

Formbook 연관 후보인 이 샘플은 실행 환경의 언어, 입력 장치, 하드웨어 식별자와 디버거 존재 여부를 확인했다. 중단 상태 프로세스 생성과 다른 프로세스의 스레드 재개, 실행 권한을 포함한 메모리 생성이 발생했으며, 여러 프로세스에서 언패킹된 셸코드와 실행 파일 및 DLL 형태의 페이로드가 기록됐다. nbgfd.exe를 드롭하고 브라우저의 자격 증명 저장 파일에 접근했으며, C2 후보 통신으로 분류된 사용자 에이전트 헤더 없는 HTTP GET 요청도 발생했다.

분석 결과

실행 환경 확인

최초 실행 파일은 키보드 배열, 시스템 언어와 로캘을 조회하고 마우스 움직임과 하드웨어 식별자를 확인했다. 로컬 시간을 확인한 뒤 이른 시점에 종료하는 동작과 실행 지연이 발생했으며, 디버거 존재 여부를 확인하는 함수도 호출했다.

API 호출

  • 52a6cc8b73e3cd23ea80e5bb.exe: IsDebuggerPresent

프로세스와 메모리 동작

중단 상태의 프로세스를 생성하고 다른 프로세스의 스레드를 재개했으며, 읽기, 쓰기와 실행 권한을 모두 가진 메모리를 만들었다. bveq4n.exe는 동적으로 할당된 메모리에서 API 주소를 직접 해석했고, 최초 실행 파일과 bveq4n.exe에서는 같은 유형의 메모리를 호출자 위치로 하는 DLL 로드가 발생했다. 최초 실행 파일은 이 유형의 메모리에서 메모리 보호를 변경하고 접근 토큰 열기를 호출했다. explorer.exe에서는 직접 시스템 호출이 실행됐다.

최초 실행 파일, explorer.exe, cscript.exe와 bveq4n.exe를 대상으로 언패킹된 셸코드, 32비트 실행 파일 및 DLL 형태의 페이로드가 기록됐다. 이는 실행 내용이 단일 프로세스에만 머물지 않고 여러 프로세스와 연결된 형태로 존재했음을 뜻한다.

메모리 페이로드

  • 52a6cc8b73e3cd23ea80e5bb.exe
    • 32-bit executable 1개
    • Unpacked PE Image: 32-bit DLL 1개
    • Unpacked Shellcode 2개
  • bveq4n.exe
    • 32-bit executable 1개
    • Unpacked Shellcode 1개
    • Unpacked Shellcode: 32-bit DLL 1개
  • explorer.exe: Unpacked Shellcode 1개

파일, 레지스트리와 자격 증명 접근

사용자 프로필 아래의 Trey 디렉터리에 nbgfd.exe를 드롭했다. explorer.exe는 레지스트리 키 생성 함수를 호출한 뒤 값 설정 함수를 호출했다. 브라우저 영역에서는 Chrome 프로필의 Login Data 파일에 접근했다.

API 호출

  • explorer.exe: RegCreateKeyExW → RegSetValueExW

파일과 레지스트리 접근

  • 자격 증명 저장 파일 접근: C:\Users\<user>\AppData\Local\Google\Chrome\User Data\Default\Login Data
  • 파일 생성: C:\Users\<user>\AppData\Roaming\Trey\nbgfd.exe

C2 후보 HTTP 통신

C2 후보 통신으로 분류된 사용자 에이전트 헤더 없는 HTTP GET 요청이 두 웹 서버를 대상으로 발생했으며, 요청에는 식별자 형태의 매개변수가 포함됐다.

기술 부록

MITRE ATT&CK

기법 ID기법명
T1055Process Injection
T1555.003Credentials from Web Browsers
T1071.001Web Protocols
T1547.001Registry Run Keys / Startup Folder
T1105Ingress Tool Transfer
T1497Virtualization/Sandbox Evasion
T1622Debugger Evasion
T1083File and Directory Discovery
T1614.001System Language Discovery
T1614System Location Discovery
T1106Native API
T1497.003Time Based Evasion

침해지표

도메인

  • www.hotcandid.com
  • www.wolframledger.com
  • www.jiameishangpin.com
  • www.moxaki.com

URL

  • http://www.hotcandid.com/ni/?id=6WtGvNx9U2w9zfuoKrlcmv1A/SLaVnltinx0bp0ii8PXieLuIa4gjzV0wiEXFiNjzQF4DG1ln+gA9Im8ug==
  • http://www.moxaki.com/ni/?id=+GUop8rUjXp6lXJcMDDBOPZmmKa2N16Neo6C9IovjxrRm75fddlW4UXO3ZOrDxcVME3wPl33yAuLsJ07bA==

IP

  • 69.174.52.178
  • 104.219.250.36

파일 경로

  • C:\Users\<user>\AppData\Roaming\Trey\nbgfd.exe
  • C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\nbgfd.vbe
  • C:\Users\<user>\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\f01b4d95cf55d32a.automaticDestinations-ms
  • C:\Users\<user>\AppData\Local\Google\Chrome\User Data\Default\Login Data

해시

  • 532dd8c53c678432142ce7d6afe8138c74aedd8fa61315a063d2a6adb5d7d506
  • b1415e45999ac443975be08b94f76c43684d7a34af3653f669062270f1144b0d
  • 90b3bc3a1230fefe2691e41daaa6df41961f5de31dbf126d460ded91776f0e4d
  • eed44a9336e02d92c8cf7693447ccd020acf832b57e4cdb4a3e11676de8bfff1
  • 4b29c2ebf31db21335bd09952a5d30acfcdeedd019cf2d96d87ae85a1de66be3
  • 92399441398d5ee57f6a6c026cddb9f9b2a542627948e32fa48796b0bcc6b685
  • 02f58b787b1a792361b8fbfab43d745a16147065bae132676913fa6641d2ffb4
  • 0aaeae4870a820736d66ddafab09182e456eced1166da613219116060a42bbc8
  • 198c2a2dbf99d6861f2ea3a3f2a0fa04c5f2f39832b48470308d1a553533ed30
  • f1644441a25da373787af7021c19eedb075aa4d83ec45e4c1725ab3df5257696
  • 0eeffd0dee8ec26d6c54260c768c4493b597051787b88556ba1af357f3143249
  • f526bb059b9b6be6f063cd8a85e31c8c05979044af0809a0253feeb57f2211ee

뮤텍스

  • S-1-5-21-9992758-4664979316825
  • Local\Mutexf01b4d95cf55d32a.automaticDestinations-ms