세계 보안 엑스포  전자정부 솔루션 페어  개인정보보호 페어  국제 사이버 시큐리티 컨퍼런스  세계 태양에너지 엑스포  스마트팩토리  세계 다이어트 엑스포  INFO-CON
Home > 전체기사
암호화폐 노리는 사이버 공격자들, 최근 웹 인젝트 사용 시작
  |  입력 : 2018-03-23 11:36
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
웹 인젝트로 암호화폐 관련 웹사이트 변경시켜 로그인 정보 탈취
암호화폐 훔치기 위한 각종 공격 기법 앞으로 계속 등장할 것


[보안뉴스 문가용 기자] 사이버 범죄자들이 여러 가지 방법을 동원해 지금의 암호화폐 열풍을 누리고 있다. 그 중 하나는 웹 인젝트(Web inject)를 사용해 사용자의 브라우저와 암호화폐 거래소 사이트 사이의 트래픽을 가로채 조작하는 것이다. 이렇게 함으로써 코인을 훔쳐 자신들의 계좌로 옮길 수 있게 된다.

[이미지 = iclickart]


서드파티 리스크 관리 전문 업체인 시큐리티스코어카드(SecurityScorecard)는 “최근 들어 사이버 범죄자들이 암호화폐 거래소인 코인베이스(Coinbase)와 비트코인 지갑 사이트인 블록체인인포(Blockchain.info)를 표적으로 웹 인젝트를 활발히 사용하고 있는 걸 발견했습니다. 수천에서 수만 개에 이르는 봇들이 웹 인젝트를 운영해 암호화폐를 훔쳐내고 있으며, 심각한 위협이 되고 있습니다.”

웹 인젝트란 사용자의 브라우저에 페이지가 만들어지기 전에 악성 콘텐츠를 웹 페이지 내에 주입시키는 코드라고 볼 수 있다. 웹 서버와 사용자 브라우저 사이의 통신을 가로채고 조작함으로써 가능해진다. 이런 류의 공격은 보통 사용자의 어떠한 주의도 끌지 못한다.

사이버 공격자들은 웹 인젝트 공격 기법을 사용해 웹 페이지의 특정 콘텐츠를 추가하거나 지울 수 있다. 예를 들면 로그인 화면에 필드(field)를 삽입해 PIN 번호를 탈취해낼 수 있고, 사용자의 주의를 끌 수 있는 경고 메시지를 지워내기도 한다. 주로 은행 계좌 크리덴셜을 훔칠 때 많이 사용된다. 이것이 암호화폐 쪽으로 응용되고 있는 게 시큐리티스코어카드의 설명이다.

현재 사이버 범죄자들은 코인베이스와 블록체인인포에 사용할 수 있는 웹 인젝트를 다크웹에서 쉽게 구매할 수 있다고 시큐리티스코어카드의 멀웨어 분석가인 도이나 코소반(Doina Cosovan)은 말한다. “특히 봇 마스터들이 많이 구매하는 추세입니다. 구매 후 자신들이 보유하고 있는 봇넷을 통해 웹 인젝트를 뿌려 코인베이스와 블록체인인포 웹사이트를 변형시키는 겁니다.”

코소반은 “웹 인젝트는 그 자체로 하나의 멀웨어가 아니며 ‘서비스’이기 때문에 다양한 멀웨어에 접목되어 사용될 수 있다”고 설명한다. “제우스(Zeus)와 램닛(Ramnit)과 특히 많이 결합되고 있습니다. 하지만 이 둘은 수많은 예시 중 하나일 뿐입니다. 사실 어떤 멀웨어를 운영하는 자라도 웹 인젝트를 사용하는 데 제한이 없습니다.”

시큐리티스코어카드가 발견한 코인베이스용 웹 인젝트는 사용자의 계정 옵션을 변경시킬 수 있도록 설계되어 있다고 한다. “디지털 코인 전송을 사용자 확인 없이 할 수 있도록 바꿔놓았습니다. 사용자가 코인베이스에 로그인하려고 할 때, 삽입된 자바스크립트 콘텐츠(웹 인젝트)가 제일 먼저 이메일과 비밀번호 필드에 대한 Enter 키를 비활성화시키는 건데요, 이 때문에 사용자가 직접 Submit 버튼을 마우스로 클릭해야만 합니다.”

여기까지 만들어 놓으면 다음 단계는 뻔하다. 사용자가 클릭해야만 하는 곳에 새로운 버튼을 만들면 된다. 가짜 Submit 버튼을 만들되 악성 기능을 심어놓는 것이다. 이 단계에서의 목적은 사용자의 인증 정보를 빼앗는 것이고, 이를 바탕으로 로그인 후 계정 설정을 바꿔 사용자가 재차 확인하거나 동의하지 않아도 거래가 일어날 수 있도록 만드는 것이다.

“여기까지 성공했다면 사용자의 확인 없어도 여러 거래들을 진행할 수 있게 됩니다. 이중 인증도 소용이 없어지는 공격 방법입니다. 왜냐하면 사용자가 이상한 걸 눈치 채고 설정을 변경하려고 해도 공격자들이 차단시키기 때문입니다.”

블록체인인포 웹 사이트에 들어가는 웹 인젝트도 비슷한 기능을 실행한다. 다만 이 경우의 목적은 로그인 인증 정보가 아니라 비트코인 지갑에서 공격자가 가지고 있는 계정으로 돈을 직접 인출하는 것이 목적이 된다. 블록체인인포용 웹 인젝트는 이렇게 암호화폐를 훔쳐낸 후 사용자에게 ‘서비스 사용 불가(Service Unavailable)’라는 메시지를 노출시킨다. 사용자가 돈이 없어졌다는 사실을 최대한 늦게 알도록 하기 위함이다.

암호화폐를 조금이라도 더 벌기 위한 사이버 범죄자들의 전략은 앞으로도 계속해서 바뀔 전망이다. 최근 또 다른 보안 업체 미네르바(Minerva)는 사이버 공격자들이 파일레스 암호화폐 채굴 멀웨어인 고스트마이너(GhostMiner)를 사용해 암호화폐를 축적시킨다는 보고서를 발표하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]

Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 4
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
모니터랩 파워비즈 배너 시작 18년9월12일위즈디엔에스 2018WD 파워비즈 2017-0305 시작파워비즈배너 시작 11월6일 20181105-20200131
설문조사
2019년은 4차 산업혁명을 이끌 보안기술들이 본격적으로 상품화될 것으로 기대되고 있습니다. 2019년에 선보이는 다양한 보안기술 중에서 어떤 기술이 가장 주목을 받을 것이라고 생각하시나요?
실시간 위협탐지·대응 기술 EDR
빅데이터 기반의 인공지능(AI) 보안기술
음성인식·행동인식 등 차세대 생체인식기술
차세대 인터넷, 블록체인 기반 보안기술
보안위협 분석 위한 인텔리전스 보안기술
대세는 클라우드, 클라우드 기반 보안기술
IoT 기기를 위한 경량화 보안기술
IP 카메라 해킹 대응 개인영상 정보보호 기술