새로운 유형의 멀웨어가 Windows 시스템에 설치된 암호화폐 지갑을 표적으로 삼고 있습니다. 보안 연구진이 'ElectroRAT(일렉트로랫)'라고 명명한 이 멀웨어는 이미 수천 명의 피해자를 발생시켰으며, 피해 규모는 앞으로도 더 커질 것으로 예상됩니다.
ElectroRAT, Windows 10 사용자의 암호화폐 탈취
비트코인 가격이 사상 최고치를 연달아 경신하는 상황에서, 암호화폐 탈취형 멀웨어가 잇따라 등장하고 있다는 소식은 결코 놀라운 일이 아닙니다.
보안 기업 인테저(Intezer)의 연구진은 Windows 10 사용자를 공격하는 미확인 원격 접속 도구(RAT)를 발견했습니다. 이 멀웨어는 macOS와 Linux 사용자 역시 공격 대상에 포함하고 있으며, 인테저 연구팀은 이를 'ElectroRAT'로 명명하고 최소 6,500명 이상의 피해자가 발생한 것으로 추정합니다.
ElectroRAT은 매우 치명적인 멀웨어입니다. 키로깅(keylogging), 화면 캡처, 디스크 내 파일 업로드, 파일 다운로드, 피해자 콘솔에서의 명령 실행 등 다양한 기능을 갖추고 있으며, Windows·Linux·macOS 변종 모두에서 유사한 기능을 수행합니다.
연구팀은 해당 공격 캠페인이 2020년 1월부터 활동해 왔다고 분석했습니다. 즉, 약 12개월 동안 탐지되지 않은 채 은밀하게 운영되어 온 것입니다.
ElectroRAT은 소셜 미디어와 암호화폐 관련 포럼에 게시물을 올려 사용자들이 트로이 목마(trojanized) 앱을 다운로드하도록 유도합니다. 위장 앱은 인기 암호화폐 거래 앱인 'Jamm'과 'eTrade'와 외관 및 기능이 매우 흡사하며, 암호화폐 포커 앱인 'DaoPoker'의 가짜 버전도 함께 유포되었습니다.
설치가 완료되면 ElectroRAT은 피해자 시스템에 존재하는 모든 암호화폐 지갑의 개인키(private key)를 찾아내려 시도합니다. 개인키가 한번 탈취되면 공격자는 마치 자신의 지갑인 양 피해자의 자산에 자유롭게 접근할 수 있습니다.
인테저의 분석은 특정 목적을 위해 처음부터 새롭게 개발된 원격 접속 도구가 매우 드물다는 점도 지적합니다. ElectroRAT은 프로그래밍 언어 'Golang(고)'으로 작성되었는데, 최근 들어 Golang 기반 멀웨어 공격이 점점 더 많아지는 추세입니다.
암호화폐 사용자의 개인정보를 탈취하기 위해 처음부터 끝까지 직접 작성된 RAT을 보는 것은 매우 드문 일입니다. 여기에 가짜 앱·가짜 웹사이트는 물론, 관련 포럼과 소셜 미디어를 통한 홍보 활동까지 포함된 광범위하고 정교하게 표적화된 캠페인이라면 더욱 그렇습니다.
급증하는 암호화폐 탈취 멀웨어
2020년 말부터 2021년 초까지 비트코인 가격이 전고점을 돌파하며 급등하면서, 암호화폐 탈취 사건 역시 함께 증가하는 추세입니다.
2017년 비트코인이 코인당 2만 달러 선을 처음 돌파했을 때만큼 폭발적인 대중의 관심을 받지는 못했지만, 여전히 많은 투자자들이 자산의 일부를 '암호화폐계의 금'이라 불리는 비트코인으로 옮기고 있습니다.
이러한 상황에서는 그 어느 때보다 철저한 지갑 보안 조치가 필요합니다. 운영체제와 백신 프로그램을 항상 최신 상태로 유지하고, 출처가 불분명한 앱은 절대 설치하지 말아야 하며, 무엇보다 암호화폐 지갑의 개인키는 반드시 오프라인(콜드 월렛 또는 하드웨어 지갑)에 안전하게 보관하는 것이 좋습니다.