디지털화는 우리의 생활 수준을 크게 향상시켰습니다. 일상의 다양한 작업이 더 쉽고 빠르며 안정적으로 처리될 수 있게 되었죠. 하지만 모든 기록을 컴퓨터에 보관하고 인터넷으로 처리하는 것은 동전의 양면과 같아서, 무수한 이점 뒤에는 해커와 그들의 도구인 악성코드(맬웨어)라는 뚜렷한 위협이 도사리고 있습니다. 방대한 맬웨어 계열에 새롭게 추가된 존재가 바로 포크스퍼스키(Fauxpersky)입니다.
이름이 유명한 러시아 백신 '카스퍼스키(Kaspersky)'와 발음이 비슷하지만, 여기까지가 두 이름이 닿는 지점입니다. 포크스퍼스키는 카스퍼스키로 위장해 사용자 정보를 탈취한 뒤 인터넷을 통해 해커에게 전송하도록 설계된 맬웨어입니다. USB 드라이브를 통해 확산되어 사용자의 컴퓨터를 감염시키고, 키로거처럼 모든 키 입력을 기록한 후 구글 폼(Google Forms)을 통해 공격자의 메일함으로 전송합니다. 이름의 유래는 단순합니다. 모조품을 뜻하는 'Faux(포)'와 Kaspersky를 합쳐 'Faux-Kaspersky', 즉 포크스퍼스키가 된 것입니다.
포크스퍼스키의 주요 구성 요소
키로거(Key Logger)
키로거는 컴퓨터 사용자가 입력하는 모든 키 입력을 기록하는 프로그램으로, 특히 비밀번호나 기밀 정보를 부정하게 획득하는 데 악용되기도 합니다. 하지만 처음 개발되었을 당시에는 자녀의 온라인 활동을 모니터링하려는 부모나, 직원들이 할당된 업무를 성실히 수행하는지 확인하려는 기업에 유용한 도구로 활용되었습니다.
오토핫키(AutoHotKey)
오토핫키는 마이크로소프트 윈도우용 무료 오픈소스 스크립팅 언어로, 손쉬운 키보드 단축키(핫키) 생성, 빠른 매크로 작성, 소프트웨어 자동화를 목적으로 만들어졌습니다. 컴퓨터 활용 능력과 관계없이 누구나 윈도우 응용 프로그램에서 반복적인 작업을 자동화할 수 있도록 지원합니다.
구글 폼(Google Forms)
구글 폼은 구글 온라인 오피스 스위트를 구성하는 앱 중 하나로, 설문지를 만들어 원하는 대상 집단에 배포하고 응답을 하나의 스프레드시트에 기록해 분석에 활용할 수 있는 도구입니다.
카스퍼스키(Kaspersky)
카스퍼스키는 안티바이러스, 인터넷 보안, 패스워드 관리, 엔드포인트 보안 등 다양한 사이버 보안 제품과 서비스를 개발한 세계적으로 잘 알려진 러시아 보안 브랜드입니다.
흔히 말하듯 "좋은 것이 너무 많으면 크게 나쁜 것이 된다"는 말이 딱 어울리는 상황입니다.
포크스퍼스키의 작동 원리
포크스퍼스키는 오토핫키(AHK) 도구로 개발되었으며, 윈도우에서 사용자가 입력하는 모든 텍스트를 읽어 다른 응용 프로그램으로 키 입력을 전달할 수 있습니다. AHK 키로거의 작동 방식은 매우 단순합니다. 자가 복제 기법으로 확산되며, 시스템에서 실행되는 순간 사용자가 입력하는 모든 정보를 해당 창 이름을 딴 텍스트 파일에 저장하기 시작합니다.
이 맬웨어는 '카스퍼스키 인터넷 시큐리티'로 위장한 채 작동하며, 기록된 모든 키 입력 정보를 구글 폼을 통해 해커에게 전송합니다. 데이터 추출 방식도 독특합니다. 공격자는 docs.google.com과의 암호화 연결이 의심스럽지 않다는 점을 역이용해, 트래픽을 분석하는 보안 솔루션의 경계를 피하면서 구글 폼으로 감염 시스템에서 데이터를 수집합니다. 키 입력 목록이 전송되면 탐지를 피하기 위해 하드 드라이브에서 삭제되지만, 한 번 감염되면 컴퓨터를 재시작할 때마다 맬웨어가 다시 실행됩니다. 아울러 시작 메뉴의 시작 프로그램 폴더에 자기 자신의 바로 가기를 생성합니다.
감염 및 확산 과정(Modus Operandi)
초기 감염 경로는 아직 명확히 밝혀지지 않았지만, 맬웨어가 시스템을 장악한 후에는 컴퓨터에 연결된 모든 이동식 드라이브를 검색하며 자신을 복제합니다. %APPDATA% 폴더에 'Kaspersky Internet Security 2017'이라는 이름의 폴더를 만들고 그 안에 여섯 개의 파일을 생성합니다. 이 중 네 개는 윈도우 시스템 파일과 동일한 이름을 가진 실행 파일로, Explorers.exe, Spoolsvc.exe, Svhost.exe, Taskhosts.exe입니다. 나머지 두 개는 카스퍼스키 백신 로고가 담긴 이미지 파일 하나와 readme.txt라는 텍스트 파일입니다. 네 개의 실행 파일은 각각 다음과 같은 기능을 수행합니다.
- Explorers.exe — 파일 복제를 통해 호스트 머신에서 연결된 외장 드라이브로 확산됩니다.
- Spoolsvc.exe — 시스템 레지스트리 값을 변경해 사용자가 숨김 파일 및 시스템 파일을 볼 수 없도록 차단합니다.
- Svhost.exe — AHK 함수를 사용해 현재 활성화된 창을 감시하고, 해당 창에 입력되는 모든 키 입력을 기록합니다.
- Taskhosts.exe — 최종 데이터 업로드를 담당합니다.
텍스트 파일에 기록된 모든 데이터는 구글 폼을 통해 공격자의 메일함으로 전송된 뒤 시스템에서 삭제됩니다. 특히 구글 폼을 통해 전송되는 데이터는 이미 암호화되어 있어, 포크스퍼스키의 데이터 업로드가 다양한 트래픽 모니터링 솔루션에서 의심스럽게 보이지 않습니다.
이 맬웨어는 사이버 보안 회사 '사이비리즌(Cybereason)'에 의해 발견되었으며, 감염된 컴퓨터의 정확한 대수는 공개되지 않았습니다. 다만 포크스퍼스키가 USB 드라이브 공유라는 구식 방식으로 확산된다는 점을 고려하면 감염 규모가 크지 않을 가능성이 높습니다. 구글은 문제가 통보되자 즉각 대응해 한 시간 이내에 서버에서 해당 폼을 내렸습니다.
제거 방법
컴퓨터가 감염된 것으로 의심된다면 AppData 폴더에 접근한 뒤 Roaming 폴더로 들어가 'Kaspersky Internet Security 2017'과 관련된 파일과 폴더 자체를 삭제하세요. 또한 시작 메뉴의 시작 프로그램 폴더에 있는 관련 항목도 반드시 함께 제거해야 합니다. 더불어 계정의 무단 사용을 막기 위해 각종 서비스의 비밀번호를 변경하는 것이 좋습니다.
최신 안티맬웨어를 갖추고 있다고 해서 컴퓨터에 저장된 개인 정보가 절대적으로 안전하다고 생각해서는 안 됩니다. 전 세계의 소셜 엔지니어링 공격자들이 끊임없이 새로운 맬웨어를 만들어내고 있기 때문입니다. 백신 개발사가 악성코드 정의를 꾸준히 업데이트하더라도, 뛰어난 두뇌를 가졌지만 잘못된 길로 접어든 사람들이 만드는 변칙적인 소프트웨어를 100% 탐지하는 것은 현실적으로 불가능에 가깝습니다. 침입을 예방하는 가장 확실한 방법은 신뢰할 수 있는 웹사이트만 방문하고, 외부 드라이브를 사용할 때 각별히 주의하는 것입니다.