크립토재킹(cryptojacking)은 악성코드 개발자들에게 수익성이 매우 높은 사업입니다. 하지만 치명적인 약점이 하나 있습니다. 크립토재커는 채굴 과정에서 막대한 프로세서 자원을 소모하기 때문에 피해자가 공격 사실을 쉽게 눈치챌 수밖에 없다는 점입니다. 그러나 최근 등장한 일부 크립토재커는 사용자가 알아채기 쉬운 징후들을 교묘히 숨기는 방법을 개발해 탐지를 회피하고 있습니다.
Skidmap의 등장
Skidmap(스키드맵)은 소유자의 허가 없이 컴퓨터와 서버에서 암호화폐를 채굴하는 리눅스 기반 악성코드입니다. Skidmap이 특히 위험한 이유는 탐지와 차단을 어렵게 만드는 다양한 고급 기능들을 폭넓게 갖추고 있기 때문입니다.
CPU 실제 사용량 은닉
Skidmap은 자신의 CPU 사용량을 위장할 수 있습니다. 이는 루트킷(rootkit)을 활용해 프로세서의 실제 사용률을 감추는 방식으로 이루어집니다. 성능 저하를 유발하는 공격 특성상 사용자는 시스템 리소스를 확인하게 되는데, 조작된 CPU 사용량만 보게 된다면 느려진 속도의 원인을 악성코드가 아닌 컴퓨터의 다른 문제로 오인하게 됩니다. 결국 의심의 화살은 악성코드에서 벗어나게 됩니다.
네트워크 활동 은닉
크립토재커는 채굴한 암호화폐를 운영자에게 전송하기 위해 데이터를 주고받아야 합니다. 그런데 이 통신 자체가 크립토재커의 위치를 드러내는 '지문'이 될 수 있습니다. Skidmap은 바로 이 부분까지 루트킷으로 네트워크 트래픽을 위조해, 악성코드가 주고받는 통신 내역을 사용자가 발견하지 못하도록 만듭니다.
시스템 정리 후에도 생존
Skidmap은 운영체제의 커널(kernel)까지 감염시킬 수 있습니다. 즉, 완전히 제거하기가 훨씬 어렵다는 뜻입니다. 설령 사용자가 감염 흔적을 성공적으로 제거하더라도, Skidmap은 네트워크 내부를 여러 경로로 이동할 수 있어 이미 정화된 장비를 재감염시키는 것도 가능합니다.
왜 하필 리눅스를 노리는가?
일반적으로 개발자에게 돈이 되는 악성코드는 윈도우를 주요 표적으로 삼습니다. 윈도우의 높은 보급률 덕분에 더 많은 컴퓨터로 확산될 수 있고, 그만큼 수익도 커지기 때문입니다. 그렇다면 왜 이 악성코드는 '악성코드 확산이 가장 어려운 운영체제'로 꼽히는 리눅스를 겨냥하는 걸까요?
그 답은 합법적인 암호화폐 채굴업자들에게서 찾을 수 있습니다. 이들은 주류 운영체제의 보안 취약점을 잘 알고 있기 때문에, 채굴 환경 구축 시 안정성과 보안이 상대적으로 뛰어난 리눅스를 선택해 왔습니다. 결과적으로 본격적인 채굴 장비(rig) 대부분은 리눅스 기반으로 운영됩니다.
바로 이 점이 크립토재커 개발자들에게 매력적인 표적이 됩니다. 강력한 연산 능력을 갖춘 채굴 장비에 올라타 자신들의 몫을 챙기려는 것입니다. 채굴 장비는 이미 24시간 고부하로 가동 중이므로, 추가적인 CPU 사용량 증가가 상대적으로 덜 눈에 띈다는 점도 공격자에게 유리하게 작용합니다.
Skidmap에 대비하는 방법
Skidmap은 회피 능력이 뛰어난 만큼, 시스템에 발판을 마련해주지 않는 것이 최선의 방어책입니다. 따라서 악성코드 감염을 예방하기 위한 기본적인 보안 수칙을 반드시 지켜야 합니다.
- 서버와 시스템을 항상 최신 상태로 유지하여 알려진 취약점을 통해 침투하는 것을 막으세요.
- 채굴용 컴퓨터나 같은 네트워크에 있는 PC에서는 출처 불명의 파일을 다운로드하거나 실행하지 마세요.
- 검증되지 않은 파일에 루트(root) 권한을 부여하지 마세요. Skidmap은 루트 권한을 확보하는 순간 시스템 깊숙이 침투합니다.
- 네트워크 트래픽 모니터링 도구를 활용해 비정상적인 아웃바운드 통신을 주기적으로 점검하세요.
여러분의 컴퓨터가 리눅스로 운영되고 있다 해도, 요즘은 그것이 악성코드로부터의 면죄부가 되어주지 않습니다!
Skidmap의 공격 전략 정리
Skidmap은 고급 크립토재킹 악성코드의 전형적인 사례입니다. 리눅스 커널 깊숙이 파고들고, 여러 번의 시스템 초기화 후에도 생존하며, 조작된 CPU 사용량 정보와 가짜 네트워크 트래픽으로 자신의 흔적까지 감춥니다. 한번 감염되면 제거하기 매우 어려운 만큼, 초기 감염 자체를 예방하는 데 최선을 다해야 합니다.
이번 소식을 접하고 크립토재커 감염에 대해 더 경계하게 되셨나요? 여러분의 생각을 댓글로 알려주세요.