서로 다른 인증 자료

저장된 비밀번호는 로그인에 쓰이는 비밀값이고 세션 쿠키는 이미 인증된 상태를 이어갈 수 있는 자료입니다. 애플리케이션 토큰과 클라우드 자격 증명은 발급한 권한과 유효기간 및 사용 범위를 따로 갖습니다.

MirrorStealer와 SUGARDUMP는 브라우저 등 저장소의 자격 증명 수집으로 보고됐고 TRANSLATEXT는 악성 확장 형태에서 세션 쿠키와 이메일 등도 다룹니다. 이름이 모두 정보 탈취형이어도 대상은 같지 않습니다.

접근 가능성과 실제 반출

브라우저 프로필과 운영체제 권한, 로그인 상태에 따라 악성코드가 접근할 수 있는 자료가 달라집니다. 특정 수집 함수의 존재만으로 모든 계정이 노출됐다고 확정하지 않습니다.

로컬 수집 파일, 전송 흔적과 계정 활동을 구분합니다. 보고서에는 비밀값 자체를 넣지 않고 계정 또는 권한의 범위와 확인한 시각 및 증거 위치를 기록합니다.

악성코드를 제거한 사실은 이미 반출된 비밀번호와 토큰의 무효화를 뜻하지 않습니다. 알려진 정상 환경에서 비밀번호 변경과 세션 종료, 토큰 폐기 등 해당 인증 체계의 절차를 적용하고 필요한 계정 활동을 확인합니다.

개발 및 CI 환경은 파일 한 곳의 토큰이 다른 저장소나 서비스 권한으로 이어질 수 있습니다. TeamPCP Cloud Stealer처럼 여러 설정을 수집하는 경우에도 실제 파일 존재와 접근 권한에 따라 범위를 좁혀 판단합니다.