최근 미국 재향군인들이 일자리를 제공하는 조직으로 위장한 가짜 웹사이트에 시달리고 있습니다. 다행히 많은 이들이 그 실체를 간파했고, 이 사이트는 피해자의 컴퓨터에 대한 완전한 통제권을 공격자에게 넘겨주는 멀웨어를 유포하기 위한 목적으로만 만들어졌다는 사실을 깨닫게 되었습니다.
시스코 탈로스 그룹(Cisco Talos Group) 연구진에 따르면, 이 조직은 스스로를 'Hire Military Heroes(HMH)'라고 칭합니다. 재향군인이 해당 사이트를 방문하면 구직 활동에 도움이 된다고 선전하는 데스크톱 애플리케이션을 다운로드하도록 유도하는 방식입니다.
시스코 탈로스 그룹은 이 웹사이트의 배후에 '토르티셸(Tortoiseshell)'이라는 공격 그룹이 있다고 강조했습니다. 이들은 비교적 최근에 발견된 공격 조직으로, 여러 IT 기업을 표적으로 삼아 고객 데이터베이스를 탈취해 온 전력이 있습니다.
탈로스 그룹은 다음과 같이 덧붙였습니다. “이번 사건은 토르티셸의 가장 최근 활동에 불과합니다. 이전 연구에서 이 공격자가 사우디아라비아의 IT 서비스 업체 공격 배후에 있었음이 밝혀진 바 있습니다. 탈로스가 추적한 이번 캠페인에서도 과거에 사용했던 것과 동일한 백도어가 사용되었으며, 이는 동일한 전술·기술·절차(TTP)에 계속 의존하고 있음을 보여줍니다.”
가짜 재향군인 채용 사이트는 어떻게 멀웨어를 퍼뜨릴까?
이 멀웨어는 당연히 미국 재향군인들을 표적으로 삼습니다. 기술에 익숙하지 않거나 이 가짜 채용 사이트에 멀웨어가 숨어 있다는 사실을 모른다면, 요구하는 대로 금세 속아 넘어가기 쉽습니다.
작동 방식은 다음과 같습니다. 사이트를 방문하면 자신의 기기에 프로그램을 다운로드하라는 안내를 받게 됩니다. Windows PC의 경우, 멀웨어는 win10.exe라는 이름의 프로그램이 담긴 zip 파일 형태로 배포됩니다.
프로그램이 실행되면 작은 로딩 화면이 뜨면서 “Hire Military Heroes는 군 장병 채용을 위한 새로운 리소스입니다”라는 문구가 표시됩니다. 이는 마치 데이터베이스에 연결 중인 것처럼 보이게 만들어 피해자를 안심시키려는 속임수입니다.
그러나 실제로는 이 화면이 떠 있는 동안 이미 두 개의 추가 멀웨어가 다운로드되어 컴퓨터에 저장되고 있습니다.
이후에는 “보안 솔루션이 당사 서버와의 연결을 종료하고 있습니다”라는 경고가 화면에 나타납니다. 이 가짜 경고는 프로그램이 안전하고 합법적으로 보이도록 꾸민 것에 불과합니다.
이 시점이면 두 개의 멀웨어는 이미 다운로드를 마친 뒤 백그라운드에서 실행 중입니다. 첫 번째 멀웨어는 피해자와 컴퓨터에 대한 정보를 수집하도록 설계되었고, 두 번째는 공격자가 내리는 모든 명령을 실행하는 역할을 맡습니다.
멀웨어는 어떻게 사용자 정보를 수집할까?
다운로드되는 첫 번째 멀웨어는 총 111개의 명령을 실행합니다. 이 모든 명령은 피해자와 컴퓨터에 대한 정보를 빠짐없이 수집하기 위한 것입니다.
명령이 실행되면 컴퓨터에 존재하는 모든 파일 목록, 드라이브 정보, 활성 프로세스, 네트워크 관련 정보, 모든 네트워크 공유, 방화벽 데이터, 기기에 설정된 사용자 계정 등 세부 정보가 수집됩니다.
모든 정보가 수집되면 %Temp%\si.cab라는 파일에 저장된 후, 피해자의 Gmail 계정 자격 증명을 이용해 공격자에게 되돌려 보내집니다.
멀웨어는 어떻게 공격자의 명령을 실행할까?
앞서 언급했듯이 피해자의 컴퓨터에는 두 개의 멀웨어가 설치됩니다. 하나는 정보를 수집하고, 다른 하나는 공격자가 보내는 모든 명령을 실행합니다.
두 번째 멀웨어는 원격 접근 트로이목마(RAT) 형태를 띠고 있습니다. Windows 서비스로 설치되며 dllhost라는 이름을 갖습니다. 자동 시작되도록 구성되어 있기 때문에 Windows가 부팅될 때마다 함께 실행됩니다.
활성화되면 트로이목마는 제작자와 제어 서버(C&C 서버)에 다시 연결합니다. 이 서버를 통해 멀웨어는 파일 업로드, 서비스 종료, 심지어 다른 명령의 실행까지 지시받게 됩니다.
현재까지 이 멀웨어가 어떤 경로로 유포되는지는 밝혀지지 않았습니다. 연구진은 “발표 시점 기준으로 유포 방식을 확인하지 못했으며, 실제 야생에서 유포되고 있다는 증거도 없습니다. 사용된 .NET 바이너리는 하드코딩된 자격 증명처럼 취약한 OPSEC 능력을 보여 정교함 수준은 낮은 편이지만, 멀웨어를 모듈화하고 피해자가 이미 실행했는지를 인식하는 등 상대적으로 발전된 기술도 함께 사용되었습니다”라고 설명했습니다.
또한 “APT 조직의 여러 팀이 이 멀웨어의 각기 다른 요소를 분담해 개발했을 가능성이 있습니다. 일정 수준의 정교함과 다양한 피해 양상이 동시에 관찰되기 때문입니다”라고 덧붙였습니다.
멀웨어 감염을 막는 7가지 예방 수칙
컴퓨터를 멀웨어로부터 보호하고 싶다면 사전 예방이 무엇보다 중요합니다. 지금 바로 실천할 수 있는 핵심 팁을 정리했습니다.
1. 신뢰할 수 있는 백신 소프트웨어를 설치하세요
너무나 당연해 보이는 조언이지만, 이를 무시하는 사람이 의외로 많습니다. 운영체제에 기본 보호 기능이 내장되어 있더라도 안심할 수 없습니다. 검증된 서드파티 백신 프로그램을 추가로 설치해 보안 수준을 한 단계 끌어올리는 것이 좋습니다.
2. 운영체제를 항상 최신 상태로 유지하세요
macOS, Linux, Windows 어느 것을 사용하든 운영체제를 최신 버전으로 유지하는 것은 사용자의 몫입니다. OS 개발사는 이미 보고된 버그와 보안 취약점을 수정하는 패치를 꾸준히 배포하고 있습니다.
3. 네트워크 보안을 점검하세요
컴퓨터는 프린터, 다른 PC, 인터넷 등 다양한 환경과 연결됩니다. 모든 연결을 안전하게 유지하려면 강력한 비밀번호를 사용해야 합니다.
가능하다면 개방형 Wi-Fi 네트워크를 외부에 노출하지 않는 것이 좋습니다. WEP 암호화는 이미 오래되어 해커가 단 몇 분 만에 우회할 수 있으므로, 반드시 WPA 또는 WPA2 암호화를 사용하세요.
또한 SSID(Wi-Fi 네트워크 이름)를 브로드캐스트하지 않는 것도 좋은 방법입니다. 기기에서 네트워크를 수동으로 설정해야 하는 번거로움은 있지만, 그만큼 더 안전한 환경을 만들 수 있습니다.
4. 클릭하기 전에 한 번 더 생각하세요
이 역시 기본적인 상식이 필요한 부분입니다. 발신자를 알 수 없는 이메일이 도착하면 어떤 링크도 클릭하지 마세요. 링크 위에 마우스를 올려 실제 연결 주소를 먼저 확인하는 습관을 들이세요. 웹에서 파일을 다운로드해야 한다면 실행하기 전에 반드시 백신으로 검사부터 하세요.
5. 공개 Wi-Fi 연결은 피하세요
도서관, 카페, 공항 같은 공공장소에서는 개방형 Wi-Fi에 연결하지 않는 것이 좋습니다. 특히 은행 앱이나 기밀 문서에 접속할 때는 더욱 그렇습니다. 같은 네트워크에 공격자가 잠복하며 다음 희생자를 기다리고 있을 수 있습니다.
6. 중요한 파일은 반드시 백업하세요
최악의 상황에 대비하는 최선의 방법은 중요한 파일을 백업해 두는 것입니다. 이상적으로는 별도의 저장 장치에 백업을 보관하세요. 컴퓨터를 더 이상 열 수 없게 되더라도 백업을 통해 다른 기기에서 파일과 문서를 손쉽게 복원할 수 있습니다.
7. 행동으로 옮기세요
여기서 소개한 모든 팁은 직접 실천하지 않으면 아무 소용이 없습니다. 능동적으로 예방 조치를 취해야 멀웨어 공격을 막을 수 있습니다. 백신을 설치하지 않으면 언젠가 위협이 시스템을 파괴할 길을 찾게 됩니다.
핵심은 행동입니다. 컴퓨터 앞에 앉아 있기만 해서는 멀웨어로부터 아무것도 지켜낼 수 없습니다.
마무리
늘 말하듯이 “너무 좋아서 믿기 힘든 일이라면, 아마도 사실이 아닐 가능성이 큽니다.” 잘 생각해 보세요. 일자리는 노력해서 얻는 것이지, 프로그램이나 앱을 다운로드한다고 쉽게 잡히는 것이 아닙니다. 만약 프로그램을 내려받으면 취업에 성공할 수 있다고 알려주는 웹사이트를 발견한다면 즉시 창을 닫으세요. 정상적인 구직 사이트는 얼마든지 찾을 수 있습니다.
현명하게 행동하세요. 이런 사기성 수법에 놀라지 말고, 해커가 소중한 정보를 훔칠 틈을 주지 않도록 예방 조치를 미리 마련해 두시기 바랍니다.
비슷한 유형의 멀웨어를 경험해 본 적이 있나요? 어떻게 대처하셨는지 댓글로 알려주세요.