정품 드라이버 위장한 Fareit/Pony 스틸러, 체크인 실증 포착

PE32 실행파일 한 개가 브라우저와 FTP 클라이언트에 저장된 계정 정보를 긁어모아 외부로 체크인하는 정황이 VirusTotal 탐지 엔진 67/76개에서 고스란히 확인됐다. 이 파일(8feae039…)은 실행파일 이름을 c:\windows\system32\drivers\partmgr.sys로 표기해 마치 커널 파티션 관리자 드라이버처럼 보이도록 해 두었지만, 실제로는 trojan.fareit/tepfer로 분류된 정통 크레덴셜 스틸러다. Elastic Security가 배포한 YARA 룰 Windows_Trojan_Pony_d5516fe8와 malpedia 계열의 win_pony_auto가 동시에 발화했고, 여기에 Proofpoint Emerging Threats의 IDS 시그니처 ET MALWARE Win32.Fareit.A/Pony Downloader Checkin과 ET MALWARE Fareit/Pony Downloader Checkin 2가 겹쳐 맞아떨어지는 것을 보면…