세계 보안 엑스포  전자정부 솔루션 페어  개인정보보호 페어  국제 사이버 시큐리티 컨퍼런스  세계 태양에너지 엑스포  스마트팩토리  세계 다이어트 엑스포  INFO-CON
Home > 전체기사
암호화폐 노리는 사이버 공격자들, 최근 웹 인젝트 사용 시작
  |  입력 : 2018-03-23 11:36
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
웹 인젝트로 암호화폐 관련 웹사이트 변경시켜 로그인 정보 탈취
암호화폐 훔치기 위한 각종 공격 기법 앞으로 계속 등장할 것


[보안뉴스 문가용 기자] 사이버 범죄자들이 여러 가지 방법을 동원해 지금의 암호화폐 열풍을 누리고 있다. 그 중 하나는 웹 인젝트(Web inject)를 사용해 사용자의 브라우저와 암호화폐 거래소 사이트 사이의 트래픽을 가로채 조작하는 것이다. 이렇게 함으로써 코인을 훔쳐 자신들의 계좌로 옮길 수 있게 된다.

[이미지 = iclickart]


서드파티 리스크 관리 전문 업체인 시큐리티스코어카드(SecurityScorecard)는 “최근 들어 사이버 범죄자들이 암호화폐 거래소인 코인베이스(Coinbase)와 비트코인 지갑 사이트인 블록체인인포(Blockchain.info)를 표적으로 웹 인젝트를 활발히 사용하고 있는 걸 발견했습니다. 수천에서 수만 개에 이르는 봇들이 웹 인젝트를 운영해 암호화폐를 훔쳐내고 있으며, 심각한 위협이 되고 있습니다.”

웹 인젝트란 사용자의 브라우저에 페이지가 만들어지기 전에 악성 콘텐츠를 웹 페이지 내에 주입시키는 코드라고 볼 수 있다. 웹 서버와 사용자 브라우저 사이의 통신을 가로채고 조작함으로써 가능해진다. 이런 류의 공격은 보통 사용자의 어떠한 주의도 끌지 못한다.

사이버 공격자들은 웹 인젝트 공격 기법을 사용해 웹 페이지의 특정 콘텐츠를 추가하거나 지울 수 있다. 예를 들면 로그인 화면에 필드(field)를 삽입해 PIN 번호를 탈취해낼 수 있고, 사용자의 주의를 끌 수 있는 경고 메시지를 지워내기도 한다. 주로 은행 계좌 크리덴셜을 훔칠 때 많이 사용된다. 이것이 암호화폐 쪽으로 응용되고 있는 게 시큐리티스코어카드의 설명이다.

현재 사이버 범죄자들은 코인베이스와 블록체인인포에 사용할 수 있는 웹 인젝트를 다크웹에서 쉽게 구매할 수 있다고 시큐리티스코어카드의 멀웨어 분석가인 도이나 코소반(Doina Cosovan)은 말한다. “특히 봇 마스터들이 많이 구매하는 추세입니다. 구매 후 자신들이 보유하고 있는 봇넷을 통해 웹 인젝트를 뿌려 코인베이스와 블록체인인포 웹사이트를 변형시키는 겁니다.”

코소반은 “웹 인젝트는 그 자체로 하나의 멀웨어가 아니며 ‘서비스’이기 때문에 다양한 멀웨어에 접목되어 사용될 수 있다”고 설명한다. “제우스(Zeus)와 램닛(Ramnit)과 특히 많이 결합되고 있습니다. 하지만 이 둘은 수많은 예시 중 하나일 뿐입니다. 사실 어떤 멀웨어를 운영하는 자라도 웹 인젝트를 사용하는 데 제한이 없습니다.”

시큐리티스코어카드가 발견한 코인베이스용 웹 인젝트는 사용자의 계정 옵션을 변경시킬 수 있도록 설계되어 있다고 한다. “디지털 코인 전송을 사용자 확인 없이 할 수 있도록 바꿔놓았습니다. 사용자가 코인베이스에 로그인하려고 할 때, 삽입된 자바스크립트 콘텐츠(웹 인젝트)가 제일 먼저 이메일과 비밀번호 필드에 대한 Enter 키를 비활성화시키는 건데요, 이 때문에 사용자가 직접 Submit 버튼을 마우스로 클릭해야만 합니다.”

여기까지 만들어 놓으면 다음 단계는 뻔하다. 사용자가 클릭해야만 하는 곳에 새로운 버튼을 만들면 된다. 가짜 Submit 버튼을 만들되 악성 기능을 심어놓는 것이다. 이 단계에서의 목적은 사용자의 인증 정보를 빼앗는 것이고, 이를 바탕으로 로그인 후 계정 설정을 바꿔 사용자가 재차 확인하거나 동의하지 않아도 거래가 일어날 수 있도록 만드는 것이다.

“여기까지 성공했다면 사용자의 확인 없어도 여러 거래들을 진행할 수 있게 됩니다. 이중 인증도 소용이 없어지는 공격 방법입니다. 왜냐하면 사용자가 이상한 걸 눈치 채고 설정을 변경하려고 해도 공격자들이 차단시키기 때문입니다.”

블록체인인포 웹 사이트에 들어가는 웹 인젝트도 비슷한 기능을 실행한다. 다만 이 경우의 목적은 로그인 인증 정보가 아니라 비트코인 지갑에서 공격자가 가지고 있는 계정으로 돈을 직접 인출하는 것이 목적이 된다. 블록체인인포용 웹 인젝트는 이렇게 암호화폐를 훔쳐낸 후 사용자에게 ‘서비스 사용 불가(Service Unavailable)’라는 메시지를 노출시킨다. 사용자가 돈이 없어졌다는 사실을 최대한 늦게 알도록 하기 위함이다.

암호화폐를 조금이라도 더 벌기 위한 사이버 범죄자들의 전략은 앞으로도 계속해서 바뀔 전망이다. 최근 또 다른 보안 업체 미네르바(Minerva)는 사이버 공격자들이 파일레스 암호화폐 채굴 멀웨어인 고스트마이너(GhostMiner)를 사용해 암호화폐를 축적시킨다는 보고서를 발표하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 4
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
위즈디엔에스 2018WD 파워비즈 2017-0305 시작
설문조사
7월은 정보보호의 달, 7월 둘째 주 수요일은 정보보호의 날로 지정된 상태입니다. 정보보호의 달과 날짜가 특정되지 않은 ‘정보보호의 날’의 변경 필요성에 대해서는 어떤 견해를 갖고 계신지요?
정보보호의 날(달) 모두 현행 유지
정보보호의 달은 현행대로, 정보보호의 날은 7월 7일로
1.25 인터넷대란, 카드사 사태 발생한 1월, 정보보호의 달(날)로
매월 매일이 정보보호의 달(날), 기념일 폐지해야
기타(댓글로)