랜섬웨어 심고 비트코인 받는 해커, 이제 가상화폐 턴다

실시간
뉴스

침해사고/위협동향

랜섬웨어 심고 비트코인 받는 해커, 이제 가상화폐 턴다

디지털데일리 발행일 2017-11-10 08:59:46

최민지

URL복사

[디지털데일리 최민지기자] 올해 3분기 랜섬웨어는 여전히 악성코드 1위 자리를 지키고 있으며, 가상화폐 열풍을 노린 해커들의 사이버위협도 가속화되고 있다.

10일 한국인터넷진흥원(KISA)의 ‘3분기 사이버위협 동향 보고서’에 따르면 랜섬웨어는 올해 3분기 347건으로 전체의 77%를 차지하며 전분기보다 36% 늘었다. 2분기에 130건으로 30%의 비중을 차지한 정보탈취형 악성코드는 그 수가 감소해 44건으로 10%의 비중을 보였다.

한동안 잠잠하던 금융정보 탈취 악성코드는 31건, 7%의 비중으로 다시 증가했다. 전체 악성코드 건수는 452건으로 2분기 436건에 비해 소폭 늘었다. 올해 3분기까지 접수된 랜섬웨어 민원접수건수는 지난해 접수된 건수의 3.7배 증가한 5366건이다.

랜섬웨어의 경우, 신·변종 형태가 계속 발생하고 있고 기존 악성코드 유포방식인 익스플로잇 킷을 이용한 드라이브-바이-다운로드(Drive-by-Download, DBD) 방식과 결합해 더욱 광역적으로 유포되고 있다. 최근 플랫폼 구분 없이 활동 가능한 랜섬웨어가 등장함에 따라 PC뿐 아니라 모바일 기기의 자료 또한 보안 위협에 처하게 됐다.

특정 타깃을 대상으로 한 지능형지속위협(APT) 공격도 끊이지 않고 발생하고 있어 이전보다 더 명확하고 구체적인 조건을 대상으로 공격을 시도하는 정황이 확인됐다.

랜섬웨어 복구비용을 비트코인을 통해 지불받았던 해커들은 더 나아가 가상화폐 관련 지갑정보나 개인 금융정보를 탈취 시도하거나, 가상 화폐 이동 단계에서의 메모리 조작 등으로 가상 화폐 자체를 탈취 시도하고 있다.

최근 수신자의 비트코인 지갑 주소를 해커의 지갑주소로 변경해 비트코인을 탈취하는 악성코드가 유포되고 있다. 해당 악성코드는 주로 인터넷 자료실 등을 통해 비트코인 마이너(채굴기), 비트코인 시세 알리미 등으로 위장해 비트코인 계좌를 가지고 있을 법한 대상이 해당 프로그램을 설치하도록 유도하고 있다.

이번에 발견된 악성코드는 비트코인 거래 사용자들을 대상으로 메모리에 상주하며, 사용자가 상대방에게 비트코인을 송금하는 과정에서 동작한다. 송금을 위해 수신자의 비트코인 지갑 주소를 복사하여 넣는 순간, 클립보드 내의 수신자 지갑주소를 해커의 지갑주소로 변경한다.

이로 인해 송금한 비트코인은 원래 수신자의 비트코인 지갑주소가 아닌 해커의 지갑주소로 송금되어 탈취된다. 비트코인 지갑 주소는 영어 대·소문자와 숫자가 섞인 30자리 내외로 복잡하게 구성돼 있어 사용자들은 직접입력을 하지 않는다는 점을 이용한 악성코드다.

이와 함께 기존 윈도를 대상으로 파일을 암호화하고 금전을 요구하던 ‘워너크라이’의 안드로이드 버전이 나타났다. 모바일 워너크라이는 윈도 PC용 워너크라이와 디자인이 유사하나 지불 방식의 변경됐다.

모바일 워너크라이는 안드로이드 로봇의 아이콘을 가진 앱으로 위장했으며 배경화면 지정, 와이파이 상태 접근, SD카드 파일 쓰기, 통화 상태 읽어오기, 단말기 부팅 결과 수신, SD카드 파일 제어, 인터넷 연결, SD카드 파일 시스템 접근, 네트워크 연결 상태보기의 권한을 요구한다.

앱 실행 때 SD카드 내에 존재하는 모든 파일이 암호화되고, 확장자가 변경된다. 복호화에 필요한 금액은 기존과는 달리 QQ 메신저를 이용해 직접 연락을 취해 지불하는 방식이다.

보고서는 “3분기의 특징으로는 가상화폐 열풍을 타고 비트코인 채굴형 악성코드인 마이너 악성코드가 증가했다는 점”이라며 “가상화폐 거래 사이트를 공격해 개인정보를 탈취하는 등 직접적인 공격도 서슴지 않고 있다”고 말했다.

이어 “블록체인 등의 기술이 발전함에 따라 가상화폐의 인기는 점점 높아지고 있다”며 “해커들은 랜섬웨어 복구비용을 비트코인으로 지급받고 있었으나 좀 더 높은 이득을 취하기 위해 가상화폐와 관련된 지갑정보, 개인 가상화폐 금융정보 등을 탈취하는 악성코드를 제작·유포하고 있다”고 덧붙였다.

랜섬웨어는 금전거래가 자유로운 가상화폐를 이용하고 있어 해커가 노출될 가능성이 적으며, 파일이 암호화되면 비용지불이외에 복구방법이 없어 피해자들은 속수무책으로 당할 수밖에 없기 때 데이터 백업과 소프트웨어 업데이트 등을 생활화해야 한다.

<최민지 기자>cmj@ddaily.co.kr