최신 랜섬웨어 공격 '배드 래빗(Bad Rabbit)' 소식을 들으셨나요? 이제는 다소 오래된 뉴스처럼 느껴질지도 모릅니다.
최근 보안 업계에서 화제가 된 것은 바로 잘 알려진 브라우저 기반 채굴 서비스인 코인하이브(Coinhive)의 하이재킹 사건입니다. 보고에 따르면 코인하이브의 DNS 레코드가 해커들에게 침해되면서, 해당 프로젝트의 스크립트를 통해 채굴된 암호화폐를 손쉽게 탈취할 수 있는 통로가 열리고 말았습니다.
코인하이브란 무엇인가?
코인하이브는 웹사이트 운영자가 모네로(Monero) 채굴 자바스크립트 코드를 활용하여, 방문객에게 광고를 강요하지 않고도 수익을 창출할 수 있게 해주는 유명한 서비스입니다.
코인하이브는 방문자 컴퓨터의 CPU 연산력을 활용해 암호화폐를 채굴하며, 채굴 수익의 30%를 가져가고 나머지는 웹사이트 운영자에게 돌아갑니다. 이 모든 과정은 원칙적으로 방문자의 동의와 인지 아래에서만 진행됩니다.
그러나 이 프로젝트는 초기 단계에서 적지 않은 문제를 겪었습니다. 일부 웹사이트 운영자들이 방문자에게 알리지 않은 채 몰래 스크립트를 삽입해 방문자를 속이는 데 성공했기 때문입니다. 이러한 방식이 공개되지 않으면서 광고 차단 프로그램들은 초기 스크립트를 차단 대상으로 지정하게 되었습니다.
이러한 초기 문제들을 틈타 공격자들은 웹사이트를 침해하고 채굴 스크립트를 심어 수익을 얻는 손쉬운 방법을 찾아내기도 했습니다.
최신 소식
코인하이브는 화요일, 자사의 클라우드플레어(Cloudflare) 계정이 하이재킹당했다고 공식 발표했습니다. 클라우드플레어 계정은 코인하이브가 DNS 서버를 변경할 수 있게 해주는 계정으로, 이를 통해 수많은 웹사이트에 삽입된 코인하이브의 공식 자바스크립트 코드가 악성 버전으로 대체될 위험에 처했습니다.
https://coin-hive[.]com/lib/coinhive.min.js
해커, 2014년 킥스타터 데이터 유출 사건의 비밀번호 재사용
해커들은 2014년에 발생한 '킥스타터(Kickstarter)' 데이터 유출 사건에서 새어 나온 비밀번호를 재사용한 것으로 알려졌습니다. 이 비밀번호가 코인하이브의 클라우드플레어 계정 접근에 사용된 것으로 추정됩니다.
코인하이브는 블로그 포스트를 통해 다음과 같이 밝혔습니다. "10월 23일 GMT 기준 밤 22시경, 우리의 DNS 제공업체(클라우드플레어) 계정이 공격자에게 접근당했습니다. coinhive.com의 DNS 레코드가 조작되어 coinhive.min.js에 대한 요청이 제3자 서버로 리디렉션되었습니다."
"이 제3자 서버에는 하드코딩된 사이트 키가 포함된 변조된 자바스크립트 파일이 호스팅되어 있었습니다."
"우리는 보안에 관해 뼈아픈 교훈을 얻었고, 그 이후로 모든 서비스에 2FA(2단계 인증)와 고유한 비밀번호를 사용해 왔지만, 수년 된 클라우드플레어 계정을 업데이트하는 것은 소홀히 했습니다."
"오늘 밤 발생한 수익 손실에 대해 사용자들에게 보상할 방법을 찾고 있습니다. 현재 계획은 모든 사이트에 일일 평균 해시레이트 기준 추가 12시간 분량을 크레딧으로 지급하는 것입니다."라고 덧붙였습니다. 코인하이브는 사용자들의 웹사이트 데이터는 안전하며 침해되지 않았다고 확약했습니다.
보안 조치의 일환으로, 카스퍼스키(Kaspersky)와 멀웨어바이트(Malwarebytes) 같은 백신 업체들이 코인하이브 스크립트를 차단했습니다. 이를 통해 고객들은 과도한 CPU 사용과 무단 채굴로부터 보호받을 수 있습니다.
해킹은 오늘날 더 이상 새로운 이야기가 아니지만, 코인하이브 해킹 사건은 패스워드 기반 보안 시스템의 허점을 명확히 드러냈다는 점에서 의미가 큽니다.
코인하이브가 2단계 인증(2FA)을 사용했음에도 불구하고 공격자들은 비교적 수월하게 해킹에 성공했습니다. 이는 기업들이 여전히 사이버 보안에 대한 완전한 통찰력을 갖추지 못하고 있기 때문입니다. 이로 인해 기업들은 자사의 보안 시스템이 하이재킹을 충분히 견딜 수 있다고 착각하기 쉽지만, 실제로는 그들의 방어 체계가 쉽게 뚫릴 수 있는 값비싼 임시방편에 불과한 경우가 많습니다.