코로나바이러스 감염증(코로나19)의 장기화는 전 세계 비즈니스에 큰 타격을 주었지만, 역설적으로 사이버 범죄자들에게는 오히려 기회가 되고 있습니다. 팬데믹 상황에서도 해커들의 활동은 멈추지 않았으며, 오히려 이번 재난을 수익으로 바꾸기 위한 다양한 시도를 하고 있습니다.
실제로 올해 1월에는 해커들이 코로나19 관련 이메일을 이용해 'Emotet' 악성코드를 유포했고, 최근에는 코로나19 세계 확진 지도를 가장한 수법으로 'AZORult' 악성코드를 퍼뜨리고 있는 것으로 확인되었습니다.
해커들은 이번에 무엇을 하고 있나?
COVID-19를 일으키는 SARS-CoV-2의 급격한 확산은 해커들에게 사이버 공격의 절호의 기회를 제공하고 있습니다. 코로나19가 팬데믹으로 번지면서 사람들은 누구나 "바이러스가 얼마나 빠르게 전 세계로 퍼지고 있는가"를 궁금해합니다. 해커들은 바로 이 심리를 역이용합니다.
즉, 화면 앞쪽에는 실제 같은 COVID-19 정보를 보여주며 사용자를 유인하고, 그 이면에서는 몰래 악성코드를 유포하는 가짜 코로나19 지도를 만들어 배포하는 것입니다. 존스홉킨스대학교를 비롯한 여러 기관이 코로나19 대시보드를 운영하고 있는 가운데, 사이버 범죄자들은 이를 모방한 가짜 페이지와 함께 'Trickbot' 같은 악성코드까지 활용해 코로나19 불안감을 악용하고 있습니다.
가짜 코로나19 대시보드는 어떻게 시스템을 감염시키나?
리슨랩스(Reason Labs)의 보안 연구원 샤이 알파시(Shai Alfasi)는 위협 행위자들이 존스홉킨스대 대시보드와 똑같이 생긴 가짜 코로나19 지도를 제작해 유포하는 과정을 분석했습니다. 핵심 도구는 바로 정보 탈취형 악성코드 AZORult입니다.
정식 대시보드와 달리, 이런 가짜 대시보드는 사용자에게 작은 Win32 EXE 파일 다운로드를 유도하며, 그 안에는 'Corona-virus-Maps.com.exe'라는 이름의 파일이 숨겨져 있습니다. 사용자가 이 파일을 더블클릭하면 겉으로는 COVID-19 관련 정보가 표시되지만, 동시에 시스템은 감염되어 브라우저에 저장된 각종 정보가 몰래 유출됩니다.
가짜 지도의 중앙에는 존스홉킨스대와 유사한 감염자 분포 지도가 표시되고, 왼쪽 창에는 지역별 확진자 수가, 오른쪽에는 완치 및 사망자 수가 나타나 마치 진짜처럼 보이도록 구성되어 있습니다.
이러한 위장 수단을 통해 AZORult는 기밀 정보를 수집합니다. 특히 이 악성 바이너리 파일은 감염된 컴퓨터에 몰래 관리자 계정을 생성할 수 있어, 원격 데스크톱 프로토콜(RDP)을 통한 접속과 추가 정보 수집까지 가능하게 됩니다.
위험에 노출되는 정보는 무엇인가?
해커들은 코로나19 지도를 미끼로 사용자의 아이디, 비밀번호, 신용카드 번호 등 브라우저에 저장된 거의 모든 개인 정보를 탈취하려 합니다.
감염되는 시스템은?
현재로서는 Windows 운영체제만 영향을 받는 것으로 확인됩니다. 다만 해커들이 새로운 버전의 악성코드를 개발 중이라는 정황이 있어, 조만간 다른 운영체제로 공격 범위가 확대될 가능성도 제기되고 있습니다.
감염 징후는 어떻게 알 수 있나?
'Corona-virus-Map.Com.exe' 파일이 실행되면 복제된 .exe 파일과 함께 Bin.exe, Windows.Globalization.fontgroups.exe, Build.exe 등 여러 파일이 생성됩니다. 또한 ZoneMap과 LanguageList 관련 레지스트리 값이 변경되는 현상도 나타납니다.
새로운 위협일까?
그렇지 않습니다. 이번 공격에 쓰인 AZORult는 2016년부터 존재해 온 정보 탈취형 소프트웨어입니다. 이 프로그램은 아이디, 비밀번호, 인터넷 검색 기록, 금융 정보, 쿠키, 컴퓨터에 저장된 암호화폐 키까지 훔칠 수 있으며, 다른 악성코드로 시스템을 추가 감염시키기도 합니다.
수집된 정보는 사이버 범죄자들이 민감한 데이터를 빼돌려 자신들의 이득에 활용하는 데 쓰입니다. 게다가 최근 발견된 AZORult 변종은 피해 PC에 은닉 관리자 계정을 설치해 원격 공격까지 수행하는 것으로 밝혀졌습니다.
공격자는 데이터를 어떻게 훔칠까?
알파시 연구원은 nss3.dll과 연동되는 API가 정적 로딩되는 것을 확인했습니다. 이 API는 저장된 비밀번호를 복호화하는 데 사용되며, AZORult 악성코드의 대표적인 특징 중 하나입니다. 감염된 브라우저에서 수집한 데이터는 C:\Windows\Temp 폴더로 옮겨진 후, 악성코드가 데이터를 추출하고 감염 기기마다 고유 ID를 생성한 뒤 암호화하여 C&C(C2) 서버와 통신합니다.
안전을 위해 우리가 할 수 있는 것은?
물론 코로나19 관련 정보를 꾸준히 확인하는 것은 중요하지만, 그 과정에서 반드시 공신력 있는 검증된 대시보드만 이용해야 합니다. Advanced System Protector 같은 보안 도구를 함께 활용하는 것도 좋은 방법입니다.
해커들은 여러분의 데이터를 빼앗기 위해 어떤 수단이든 동원할 것입니다. 결국 데이터를 지키는 첫걸음은 사용자 자신의 경각심입니다. 가짜 사이트를 판별하려면 URL과 세부 정보를 꼼꼼히 살펴 정식 코로나19 대시보드와 일치하지 않으면 즉시 창을 닫으세요. 또한 코로나19 추적을 명목으로 파일 다운로드나 프로그램 설치를 요구한다면 단 한 번도 응해서는 안 됩니다. 그것이 곧 악성코드 유포 수법이기 때문입니다.
이번 사례를 통해 알 수 있듯이 사이버 범죄자들은 멈출 생각이 없으며, 정보를 훔칠 수 있는 모든 기회를 놓치지 않으려 합니다. 따라서 안전을 지키는 유일한 방법은 어떤 정보를 찾을 때마다 보안 수칙을 항상 염두에 두는 것입니다.
여러분은 이 문제를 어떻게 생각하시나요? 사이버 범죄자들의 행위는 당연히 잘못된 것이라고 보십니까? 아니면 기회를 활용해 돈을 버는 것은 어쩔 수 없다고 생각하시나요? 여러분의 의견을 댓글로 들려주세요.