‘테서렉트스틸러’ 사진으로 저장한 암호 탈취해 암호화폐 지갑 털어가

이미지에서 문자 추출하는 도구 활용해 암호화폐 관련 정보 탈취
ViperSoftX 악성코드 공격자, 테서렉트스틸러·콰사르 RAT 감염시켜 정보 탈취
의심스러운 웹 사이트·자료 공유 사이트에서 실행 파일 설치 말아야

[보안뉴스 박은주 기자] 이미지로 저장한 암호화폐 관련 정보를 탈취하는 악성코드가 발견됐다. 이미지에서 텍스트를 추출하는 ‘테서렉트(Tesseract)’라는 도구를 활용해 시스템에 저장된 이미지에서 문자열을 추출하는 방식이다.

▲테서렉트스틸러를 통해 이미지 파일에서 문자열을 검사하는 루틴[자료=ASEC]

테서렉트는 딥러닝 기반 오픈소스 OCR(Optical Character Recognition, 광학 문자 인식) 엔진이다. 시스템에 저장된 이미지를 읽어 문자열을 추출하고, 비밀번호나 암호화폐 지갑 주소와 관련된 내용이 확인될 경우 자료를 탈취한다.

안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 이러한 위협은 ViperSoftX(바이퍼소프트엑스)를 활용하는 공격자 소행으로 밝혀졌다. ViperSoftX는 감염 시스템을 제어하고 암호화폐 관련 사용자 정보를 탈취하는 악성코드다. 감염된 시스템에 ‘TesseractStealer(테서렉트스틸러)’ ‘Quasar(콰사르) RAT’ 악성코드를 추가 설치하는 방식으로 공격을 감행한다. 이때 테서렉트스틸러가 테서렉트를 활용해 이미지에서 정보를 탈취하는 것.

시스템 내 △.png △.jpg △.jpeg 파일을 확인하고, 테서렉트 라이브러리 활용해 문자열을 추출한다. 추출 내용에 OTP나 복구에 필요한 비밀번호, 암호화폐 지갑 주소 문자열이 포함돼 있는지 검사하고, 해당 내용을 C&C 서버로 전송하는 방식이다. ASEC는 “스크린샷 캡처를 이용해 암호화폐 지갑 주소나 비밀번호 같은 정보를 저장하는 경우, 이미지 파일을 탈취하기 위한 목적으로 보인다”고 설명했다.

▲ViperSoftX의 메인 루틴[자료=ASEC]

ViperSoftX는 2020년 처음 발견된 이후 꾸준히 악성 기능이 추가되며 정보 탈취 및 악성코드를 유포하는 악성코드로 사용되고 있다. 공격자는 ViperSoftX 업데이트를 위해 ‘win32.exe’라는 드로퍼를 설치하는데, 내부에 테서렉트스틸러와 콰사르 RAT 등 악성코드를 포함하고 있다. 이후 ViperSoftX 스크립트를 생성하고, 작업 스케줄러로 등록해 외부에서 명령을 받아 확장 악성코드를 설치하고, 지속해서 실행 및 업데이트하는 방식으로 공격을 진행하고 있다.

▲콰사르 RAT가 제공하는 기능[자료=ASEC]

콰사르 RAT는 사용자 환경 정보를 탈취하고, 원격 데스크톱을 통해 실시간으로 감염 시스템을 제어할 수 있는 악성코드다. 닷넷으로 개발된 오픈소스 RAT로 △프로세스 및 파일 △레지스트리와 같은 시스템 작업 △원격 명령 실행 △파일 업로드 및 다운로드 △키로깅 △계정 정보 수집 등 악성 행위를 지원한다. 공격자는 감염된 다수를 대상으로 악성코드를 유포하고 있다.

ViperSoftX는 주로 정상프로그램 크랙이나 키젠을 위장해 유포되고 있으며, 테서렉트스틸러와 콰사르 RAT 유포도 확인되고 있어 각별한 주의가 필요하다. 따라서 사용자는 의심스러운 웹사이트나 자료 공유 사이트에서 실행 파일을 설치하지 말아야 한다. 유틸리티 및 게임 등의 프로그램은 반드시 공식 홈페이지에서 내려받는 것이 안전하다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)