윈도우 사용자들을 대상으로 한 대규모 크립토재킹(암호화폐 무단 채굴) 캠페인이 2년 넘게 발각되지 않은 채 운영되며 수만 달러의 부당 이득을 취한 것으로 밝혀졌습니다. 'WatchDog'으로 알려진 이 크립토재킹 악성코드는 수백 명의 피해자를 낸 것으로 추정되며, 놀랍게도 현재까지도 활동이 지속되고 있는 것으로 파악되었습니다.
이 크립토재킹 캠페인을 발견한 연구팀은 해당 공격이 매우 숙련된 조직의 소행이며, 이 외에도 다른 수익성 높은 불법 활동을 진행 중일 가능성이 있다고 분석하고 있습니다.
WatchDog 크립토재킹 악성코드, 수백 개 시스템 감염
WatchDog 크립토재킹 악성코드는 팰로앨토 네트웍스(Palo Alto Networks) 블로그를 통해 처음 보고되었습니다.
팰로앨토 네트웍스의 연구팀인 'Unit 42'는 WatchDog이 주로 윈도우와 NIX 클라우드 인스턴스로 구성된 "최소 476개"의 시스템을 감염시켰으며, 이 캠페인이 2019년 1월 27일부터 줄곧 운영되어 왔다고 밝혔습니다.
약 2년간의 기간 동안 이 크립토재킹 캠페인은 "최소 209 모네로(XMR)"를 불법적으로 채굴했으며, 현재 가치로 약 3만 2천 달러에 해당하는 금액입니다.
이 악성코드는 Go 프로그래밍 언어로 작성된 3개의 바이너리 세트를 사용합니다. 각 바이너리는 피해자의 컴퓨터에서 서로 다른 역할을 수행하는데, 예를 들어 채굴 작업이 중단되지 않도록 유지하거나 채굴 프로그램을 최초로 구동하는 기능을 담당합니다. 또한 이 캠페인은 여러 엔드포인트와 도메인을 활용해 은닉 상태를 유지하며, 설령 발각되더라도 악성코드가 온라인 상태를 지속할 가능성을 높이는 전략을 구사하고 있습니다.
WatchDog 운영자들이 숙련된 코더이며, 그들의 채굴 활동이 상대적으로 주목받지 못했다는 점은 분명합니다. 현재 추가적인 클라우드 침해 활동(즉, 클라우드 플랫폼의 IAM(신원 및 액세스 관리) 자격 증명, 액세스 ID 또는 키 탈취 등)의 징후는 확인되지 않지만, 향후 추가적인 클라우드 계정 침해로 이어질 잠재적 가능성은 충분히 존재합니다.
따라서 팰로앨토 네트웍스는 위협 행위자들이 아직 실행하지 않았다면, 앞으로 더 광범위한 클라우드 계정 침해 활동으로 전환할 수 있다고 경고하고 있습니다.
크립토 마이닝 악성코드, 범죄자들에게 여전히 수익성 높은 수단
최근 암호화폐 시장의 호황은 크립토재킹 캠페인이 번성하기에 완벽한 환경을 제공하고 있습니다.
2019년 1월 WatchDog 악성코드가 처음 배포될 당시 모네로 가격은 코인당 50달러 안팎으로 침체되어 있었습니다. 만약 가격이 그 수준을 유지했다면 이 크립토재킹 캠페인의 수익은 약 1만 달러 수준에 그쳤을 것입니다. 앞서 범죄 조직에게 악성코드가 얼마나 수익성이 높은지, 그리고 크립토재킹 캠페인과 관련된 유사한 조사 결과를 보도한 바 있습니다.
크립토재킹 악성코드는 프라이버시 중심의 모네로를 주로 사용하는데, 비트코인이 의사 익명성(pseudo-anonymous)만 제공하는 것과 달리 모네로는 사실상 추적이 불가능하기 때문입니다. 가격 변동이라는 관점에서 크립토재킹은 일종의 도박이지만, 피해자의 하드웨어를 이용해 모네로를 채굴하기 때문에 얻는 수익은 거의 순수익에 가깝습니다.
그럼에도 불구하고 크립토재킹은 악성코드 중 가장 수익성이 높은 형태라고 단정할 수는 없습니다. 랜섬웨어는 여전히 피해자로부터 금전을 갈취하는 가장 효과적인 방법 중 하나로 자리 잡고 있으며, 법 집행 기관의 대대적인 차단 및 소탕 노력에도 불구하고 그 기세가 꺾일 기미를 보이지 않고 있습니다.