최근 일부 가상화폐(Virtual Currency, 또는 암호화폐 Crypto Currency)
시세가 큰 폭으로 등락을 거듭하면서 가상화폐에 대한 관심이 뜨겁다. 이런 가운데 사용자 몰래 사용자의 시스템을 이용해 가상화폐를 획득(채굴,
Mining)하는 악성코드가 잇따라 발견되고 있어 주의가 요구된다.
가상화폐를 소유하는 방법은 가상화폐 거래소 등을 통해 타인이 소유한 가상화폐를 구매하거나 복잡한 암호를 풀어 가상화폐를 획득하는
채굴(Mining)이 있다. 채굴 난이도에 따라 컴퓨터 자원 사용량이 급격히 증가하기 때문에 최근 사용자 몰래 사용자의 시스템을 가상화폐 채굴에
이용하는 보안 위협이 계속되고 있다. 사용자 몰래 악성코드를 설치해 PC 등 사용자의 시스템 자원으로 가상화폐를 채굴하여 공격자의 가상화폐
지갑으로 전송하는 방식이 주를 이룬다. 특히 일반적인 악성코드를 제작하는 것보다 오픈소스를 이용해 악성 채굴 프로그램을 제작하는 것이 상대적으로
쉽기 때문에 사이버 범죄 조직의 새로운 공격 방법으로 악용되고 있다.
최근에는 사용자 PC에 설치되어 가상화폐를 채굴하는 방식 외에 웹 브라우저 기반의 채굴 프로그램을 이용해 사용자가 웹 사이트에 방문하기만 해도
가상화폐 채굴에 시스템 자원을 악용하는 사례가 확인됐다. 웹 페이지 내부에 악의적인 코드를 삽입해 해당 웹 사이트를 방문한 사용자의 웹
브라우저에서 채굴 프로그램을 동작시키는 방식으로, 크립토재킹(CryptoJacking) 또는
드라이브-바이-마이닝(Drive-By-Mining)으로 불린다. 웹 사이트를 방문한 불특정 다수를 대상으로 악성코드를 유포하는 방식인
‘드라이브-바이-다운로드(Drive-By-Download)’과 유사한 방식으로 이해할 수 있다.
이번에 국내에서 확인된 웹 기반의 악성 채굴 프로그램은 토렌트 사이트를 이용했다. [그림 1]은 해당 토렌트 사이트의 메인 페이지로, 겉으로
보기에는 게시판 링크와 배너 광고가 있는 것처럼 보인다.
그림 1] 토렌트 사이트 메인 페이지
그러나 이 메인 페이지의 내부 정보를 살펴보면 [그림 2]와 같이 가상화폐 채굴 프로그램을 실행하는
코드가 삽입되어 있다.
.
[그림 2] 토렌트 메인 페이지의 내부 정보
메인 페이지에 삽입되어 있는 채굴 프로그램이 해당 사이트 방문자의 시스템 자원을 이용하여 채굴 기능을
수행한다. 방문하는 사용자에게 별도의 프로그램 설치를 요구하지 않기 때문에 사용자로서는 자신의 PC가
가상화폐 채굴에 이용되는 것을 짐작하기 어렵다. 이렇게 실행된 채굴 프로그램으로 인해 [그림 3]과
같이 사용자 PC의 시스템 자원이 가상화폐 채굴에 이용되며, 결과적으로 시스템이 느려지는 결과를
초래한다.
[그림 3] 채굴 프로그램 실행 전 CPU 상태(위)/실행 후 CPU 상태(아래)
V3 제품에서는 해당 채굴 프로그램을 아래와 같은 진단명으로 탐지하고 있다.
<V3 제품군 진단명>
- JS/Coinminer
이 밖에도 사용자 시스템의 백그라운드에서 CPU 점유율을 일정 수치로 유지하는 방식으로 사용자의
의심을 피해 몰래 가상화폐를 채굴하는 악성코드가 스팸 메일을 통해 유포되고 있다. 특히 지난해
국내에서 비너스락커(Venuslocker) 랜섬웨어를 유포했던 범죄 조직이 최근 이런 방식으로
가상화폐 채굴 악성코드를 유포하고 있는 것으로 확인됐다. 또 서버 취약점을 이용해 백도어를 통해 채굴
악성코드를 유포하는 사례도 확인돼 개인뿐만 아니라 기업 보안 담당자들의 각별한 주의가 요구된다.
대부분의 채굴 프로그램은 시스템 정보를 유출하거나 백도어 역할을 하는 등 일반적인 악성코드와 같은
악의적인 행위를 수행하는 것은 아니지만 사용자의 동의 없이 무단으로 시스템 자원을 사용한다는
점만으로도 적지 않은 피해를 야기한다. 따라서 평소 OS 및 주요 애플리케이션의 최신 보안 업데이트를
적용하고 백신(AV) 프로그램의 실시간 검사 기능을 활성화하는 등 평소 기본적인 보안 수칙을 준수하는
습관이 중요하다. 특히 웹 사이트에 몰래 삽입된 채굴 프로그램으로 인한 피해를 예방하기 위해서는
인터넷 익스플로러나 엣지, 파이어폭스, 크롬, 사파리 등 평소 사용하는 웹 브라우저를 비롯해
플래시플레이어 등의 최신 업데이트를 적용해야 한다.
[출처 : 안랩((www.ahnlab.com)]
