마이크로소프트에 따르면 구글 크롬, 모질라 파이어폭스, 마이크로소프트 엣지, 얀덱스(Yandex) 등 주요 웹 브라우저를 표적으로 하는 악성코드 캠페인이 현재 진행형으로 전 세계 컴퓨터를 공격하고 있습니다.
이 캠페인은 2020년 5월부터 활동해 왔으며, 8월에는 하루 3만 대가 넘는 기기에서 관측되며 확산의 정점을 찍었습니다. 악성코드의 목적은 검색엔진 결과 페이지에 광고를 몰래 삽입하는 것입니다.
광고 삽입 악성코드, 전 세계 수만 대 PC 감염
마이크로소프트 365 디펜더 연구팀은 공식 블로그를 통해 2020년 5월 초부터 이 악성코드를 추적해 왔으며, 전 세계로 퍼져 나가는 과정을 지켜봤다고 밝혔습니다.
이번에 확인된 악성코드 계열은 '아드로젝(Adrozek)'으로 불립니다. 아드로젝은 브라우저 확장 프로그램을 추가하고, 브라우저 설정을 변경해 검색 결과에 광고를 삽입하며, 특정 DLL 파일까지 조작해 탐지를 회피합니다.
아드로젝이 발견되지 않은 채 시스템에 남아 있으면, 사용자가 본래 보게 될 광고 위에 공격자가 준비한 광고를 끼워 넣습니다. 마이크로소프트가 공개한 이미지는 정상적인 검색 결과와 감염된 화면의 차이를 보여줍니다.
검색 결과에 삽입된 광고에는 제휴 사이트로 연결되는 링크가 포함되어 있으며, 공격자는 해당 페이지로 유입되는 트래픽량이나 클릭 수를 통해 수익을 얻습니다. 최악의 경우 사용자가 직접 결제까지 진행할 수 있는데, 이때 신원 도용이나 신용카드 사기 같은 심각한 2차 피해로 이어질 위험도 있습니다.
더욱이 특정 브라우저에서는 아드로젝의 위력이 한층 강해집니다. 모질라 파이어폭스에서는 추가 모듈을 활성화해 자격 증명 탈취가 가능합니다. 쉽게 말해, 브라우저에 저장된 비밀번호를 훔쳐 공격자에게 전송하는 것입니다.
아드로젝은 주로 유럽 지역에 집중적으로 분포하며, 남아시아와 동남아시아에도 상당한 감염이 확인됐습니다. 마이크로소프트는 이런 분포가 "지속적이고 광범위한 캠페인"에서 충분히 예상되는 양상이라고 설명했습니다.
마이크로소프트가 추적한 고유 도메인은 159개였고, 각 도메인은 평균 17,300개의 URL을 호스팅하고 있었습니다. 나아가 각 URL에는 평균 15,300개의 고유한 다형성(polymorphic) 악성코드 샘플이 배포되어 있어 탐지를 더욱 어렵게 만들고 있습니다.
아드로젝은 어떻게 시스템에 침투하나?
아드로젝을 비슷한 브라우저 기반 악성코드와 구별 짓는 특징 중 하나는 바로 드라이브 바이 다운로드(drive-by download) 방식입니다.
여기서 드라이브 바이 다운로드란, 사용자가 다운로드 버튼을 누르는 등의 동작 없이도 설치 파일이 자동으로 시스템에 나타나는 것을 의미합니다. 설치 파일이 실행되면 2차 설치 프로그램을 내려받고, 이것이 다시 메인 악성코드 페이로드를 받아 설치하는 다단계 구조로 되어 있습니다.
메인 페이로드는 "QuickAudio.exe", "converter.exe"처럼 오디오 관련 소프트웨어로 보이는 파일명을 사용해 폴더 속에서 위장합니다.
설치가 완료되면 아드로젝은 제어 서버와 통신을 시작하고, 브라우저 보안 설정 변경 작업에 착수합니다.
브라우저는 악성코드에 의한 무단 변조를 막기 위한 보안 장치를 갖추고 있습니다. 예컨대 환경설정(Preferences) 파일에는 민감한 데이터와 보안 설정이 담겨 있으며, 크로미움 기반 브라우저는 여러 환경설정 항목에 대한 서명·검증 절차를 통해 무단 변경을 감지합니다.
아드로젝은 이런 보안 설정을 비활성화하고 패치로 덮어 버리며, 브라우저 보안 업데이트마저 차단합니다. 또한 자체적인 윈도우 서비스를 생성하는 등 시스템에 오래 잔류하기 위한 다양한 기능을 갖추고 있습니다.
아드로젝 제거 방법
브라우저에서 갑자기 낯선 광고가 표시되거나 의도하지 않은 사이트로 리디렉션된다면, 가장 먼저 백신 프로그램으로 바이러스 검사를 실행해야 합니다.
이후 맬웨어바이츠(Malwarebytes) 같은 전문 도구로 2차 검사를 진행해 시스템에 남아 있는 각종 악성코드를 찾아 제거하는 것이 좋습니다. 마지막으로 마이크로소프트 팀은 악성코드의 흔적을 완전히 없애기 위해 "브라우저를 재설치"할 것을 권장합니다.