프로그램을 켜자마자 갑자기 cmd파일이 켜지고 윈도디펜더가 오른쪽 아래에 튀어나오길래 바로 컴퓨터를 끄고 인터넷 선을 뽑았습니다.
체감상 10초였는데 실제로는 2~30초 정도 걸렸을 수도 있어요.
와... 진짜 놀랬습니다.
시간이 좀 지나서 다시 인터넷 없는 상태로 컴퓨터를 켜고 분석을 해봤는데요
일단 uninstall을 하더라도 프로그램이 사라지지 않습니다.
파일은 msi 확장자의 약 750MB 이라 인터넷에서 해킹프로그램 체크를 할 수 있는 https://www.virustotal.com/ 에서 검색도 못하게 해놨네요.
프로그램을 뜯어보면
수집 대상
지갑·시드 관련: 클립보드 내용(시드/프라이빗키 복사), 브라우저 확장지갑(메타마스크) 세션 토큰/쿠키, 암호화폐 서명 요청 가로채기.
인증정보: 키보드 입력(키로깅), 저장된 로그인 정보(브라우저 비밀번호), OTP 토큰 스냅샷.
파일·문서: 데스크톱/다운로드 폴더의 지갑 주소·거래내역·키파일(.json/.pem/.key 등).
시스템 식별자: 호스트네임, MAC, IP, 윈도우 사용자 이름, 프로세스 목록, 설치된 소프트웨어 목록.
스크린샷·비디오: 사용자의 화면 캡처(거래·승인 화면 수집).
기타: 키체인/자격증명 저장소 접근(가능하면), 원격 인증서·토큰
수집 방법
클립보드 후킹: 클립보드 모니터링 → 복사된 시드/주소 감지 → 교체(예: 주소를 공격자 주소로 바꿔 붙여넣기).
키로깅: 키 입력 가로채기(로컬 파일로 기록 또는 메모리 버퍼 → 주기적 전송).
브라우저 확장·프로세스 후킹: 브라우저 확장 API 또는 웹페이지 스크립트 인젝션으로 트랜잭션 서명 요청 가로채기.
파일 스캔: 특정 확장자(.json, .pem, .wallet 등)나 키워드(“seed”, “mnemonic”, “private key”) 검색·압축·업로드.
스크린샷/비디오 캡처: 고정 주기 또는 특정 UI(예: 메타마스크 서명창) 감지 시 캡처.
명령·제어(C2) 통신: HTTP(S) POST, WebSocket, DNS 터널링, FTP, SMTP, 또는 텔레그램/디스코드 웹훅을 통한 데이터 전송.
스마트 컨트랙트 악용: 사용자가 서명한 트랜잭션을 개조하거나, 미리 준비된 악성 트랜잭션을 서명 유도.
누가봐도 100% 해킹툴.
프로그램이 제대로 돌아가게 보이려고 꽤 긴시간의 로딩화면을 만들어뒀더라구요.
그 시간동안에 컴퓨터를 스캔해서 정보를 빼내려는 속셈이었습니다.