최근 마이크로소프트가 윈도우를 노리는 악성코드 공격에 대해 비상경보를 발령했습니다. 이번 공격의 주범은 '아스타로스(Astaroth)'라 불리는 파일리스(fileless) 악성코드입니다. 파일리스 악성코드란 악성코드가 컴퓨터의 파일 시스템이 아닌 RAM(메모리)에 상주하며 활동하는 형태를 말합니다. 흔적을 파일로 남기지 않기 때문에 일반적인 백신 프로그램으로는 탐지하기가 훨씬 어렵습니다.
이번 글에서는 마이크로소프트가 아스타로스를 강력히 경고하는 이유와, 사용자가 스스로를 보호하기 위해 취해야 할 조치를 자세히 살펴보겠습니다.
아스타로스는 어떻게 퍼질까?
아스타로스는 .LNK 파일(바로 가기 파일)을 이용해 확산됩니다. 공격자는 이 파일을 웹사이트에 업로드한 뒤, 해당 사이트로 연결되는 링크를 이메일로 뿌립니다.
사용자가 이 링크를 클릭하면 .LNK 파일이 윈도우에서 실행되면서, 윈도우 관리 도구 명령줄(WMIC, Windows Management Instrumentation Command-line)에 명령을 전달합니다. WMIC는 윈도우에 기본 탑재된 정품 시스템 도구이기 때문에, 실행 과정에서 백신 프로그램의 눈을 피해 그대로 통과할 수 있습니다.
이후 아스타로스는 WMIC를 가면 삼아, 공격에 필요한 각종 도구를 다운로드하고 실행하도록 지시합니다. 필요한 구성 요소가 모두 갖춰지면 본격적인 공격이 개시됩니다.
흥미로운 점은, 아스타로스가 다운로드하는 도구들이 모두 윈도우가 기본적으로 사용하는 정상적인 시스템 도구라는 사실입니다. 공격이 핵심 윈도우 프로세스를 역이용하기 때문에 백신 프로그램이 이를 악성 행위로 탐지하기가 매우 어렵습니다. 외부 파일을 다운로드해 저장하지 않는다는 의미에서 이러한 공격 방식을 '파일리스' 공격이라고 부릅니다.
이 공격 기법은 더 큰 분류인 '리빙 오프 더 랜드(Living-off-the-Land)' 공격에 속합니다. 바이러스가 시스템에 새로운 에이전트를 도입하는 것이 아니라, 이미 존재하는 도구를 이용해 페이로드를 다운로드하고 실행하기 때문입니다.
아스타로스는 무엇을 할까?
아스타로스의 주된 목적은 가능한 한 많은 정보를 수집하는 것입니다. 여러 공격 벡터를 동원하는데, 키로거(keylogger)로 사용자가 입력하는 모든 내용을 기록하고, 클립보드를 감시해 민감한 정보를 훔칩니다. 나아가 앱을 강제로 작동시켜 앱 내부의 정보를 덤프(dump)하기도 합니다.
이는 최근 대부분의 악성코드가 보이는 전형적인 행동 양식이기도 합니다. 요즘 바이러스와 악성코드는 시스템을 파괴하는 대신, 데이터를 수집하거나 개발자에게 금전적 이익을 안겨 주는 방식으로 진화했습니다. 아스타로스는 파일리스 방식의 은밀한 설치와 다층적인 정보 수집 기법을 갖춰, 그중에서도 특히 위협적인 사례로 꼽힙니다.
이 공격을 피하는 방법
다행히 이 공격 기법은 백신 프로그램이 탐지하기 어렵지만, 초기 감염 경로는 사람의 눈으로도 쉽게 식별할 수 있습니다. 이메일에 포함된 링크를 클릭할 때는 항상 주의를 기울이고, 특히 발신자를 전혀 알지 못하는 이메일의 링크는 절대 클릭하지 않는 것이 안전합니다.
은밀한 위협, 파일리스 악성코드
파일리스 악성코드의 은밀한 특성 때문에 백신 프로그램을 설치한 사용자에게도 심각한 위협이 됩니다. 최근의 아스타로스 유행은 파일리스 악성코드가 얼마나 파괴적일 수 있는지를 보여준 대표적인 사례입니다. 이제 여러분은 파일리스 악성코드가 무엇인지, 어떤 피해를 일으키는지, 그리고 감염을 예방하려면 어떻게 해야 하는지 알게 되셨습니다.
파일리스 악성코드가 걱정되시나요? 아래 댓글로 의견을 남겨 주세요.