설치된 에이전트는 정해진 정보 탈취 루틴만 수행하는 것이 아니라 운영자가 원격으로 명령을 내리는 원격 접근 도구에 가까운데, 공격자는 이를 이용해,

exec: 임의의 프로그램 및 셸 명령 실행

ls, cd, cat, download, file_chunk: PC 내 파일 열람, 다운로드
screens: 모든 모니터의 스크린샷 촬영

creds: Windows 자격 증명 관리자 덤프 수집

browserscan: Chrome, Edge, Firefox 등 주요 브라우저의 저장된 비밀번호와 쿠키 수집

keyscan: 264개의 알려진 자격 증명 수집

wallet_files: 28종의 브라우저 암호화폐 지갑 데이터 수집

whoami, sysinfo, host_facts: 각종 시스템 정보 수집

chrome_install: Chrome 경로에 지속성 백도어(.dll) 주입

chrome_cleanup, chrome_uninstall, payload_cleanup: 감염 흔적 삭제 (안티포렌식)

등을 할 수 있는 것으로 밝혀졌다. 이 같은 과정에서 로그가 전혀 남지 않아 피해자는 어떤 정보가 유출되었는지 일절 확인할 방법이 없다.

ㄷㄷ