웹 인젝트로 암호화폐 관련 웹사이트 변경시켜 로그인 정보 탈취
암호화폐 훔치기 위한 각종 공격 기법 앞으로 계속 등장할 것
[보안뉴스 문가용 기자] 사이버 범죄자들이 여러 가지 방법을 동원해 지금의 암호화폐 열풍을 누리고 있다. 그 중 하나는 웹 인젝트(Web inject)를 사용해 사용자의 브라우저와 암호화폐 거래소 사이트 사이의 트래픽을 가로채 조작하는 것이다. 이렇게 함으로써 코인을 훔쳐 자신들의 계좌로 옮길 수 있게 된다.
서드파티 리스크 관리 전문 업체인 시큐리티스코어카드(SecurityScorecard)는 “최근 들어 사이버 범죄자들이 암호화폐 거래소인 코인베이스(Coinbase)와 비트코인 지갑 사이트인 블록체인인포(Blockchain.info)를 표적으로 웹 인젝트를 활발히 사용하고 있는 걸 발견했습니다. 수천에서 수만 개에 이르는 봇들이 웹 인젝트를 운영해 암호화폐를 훔쳐내고 있으며, 심각한 위협이 되고 있습니다.”
웹 인젝트란 사용자의 브라우저에 페이지가 만들어지기 전에 악성 콘텐츠를 웹 페이지 내에 주입시키는 코드라고 볼 수 있다. 웹 서버와 사용자 브라우저 사이의 통신을 가로채고 조작함으로써 가능해진다. 이런 류의 공격은 보통 사용자의 어떠한 주의도 끌지 못한다.
사이버 공격자들은 웹 인젝트 공격 기법을 사용해 웹 페이지의 특정 콘텐츠를 추가하거나 지울 수 있다. 예를 들면 로그인 화면에 필드(field)를 삽입해 PIN 번호를 탈취해낼 수 있고, 사용자의 주의를 끌 수 있는 경고 메시지를 지워내기도 한다. 주로 은행 계좌 크리덴셜을 훔칠 때 많이 사용된다. 이것이 암호화폐 쪽으로 응용되고 있는 게 시큐리티스코어카드의 설명이다.
현재 사이버 범죄자들은 코인베이스와 블록체인인포에 사용할 수 있는 웹 인젝트를 다크웹에서 쉽게 구매할 수 있다고 시큐리티스코어카드의 멀웨어 분석가인 도이나 코소반(Doina Cosovan)은 말한다. “특히 봇 마스터들이 많이 구매하는 추세입니다. 구매 후 자신들이 보유하고 있는 봇넷을 통해 웹 인젝트를 뿌려 코인베이스와 블록체인인포 웹사이트를 변형시키는 겁니다.”
코소반은 “웹 인젝트는 그 자체로 하나의 멀웨어가 아니며 ‘서비스’이기 때문에 다양한 멀웨어에 접목되어 사용될 수 있다”고 설명한다. “제우스(Zeus)와 램닛(Ramnit)과 특히 많이 결합되고 있습니다. 하지만 이 둘은 수많은 예시 중 하나일 뿐입니다. 사실 어떤 멀웨어를 운영하는 자라도 웹 인젝트를 사용하는 데 제한이 없습니다.”
시큐리티스코어카드가 발견한 코인베이스용 웹 인젝트는 사용자의 계정 옵션을 변경시킬 수 있도록 설계되어 있다고 한다. “디지털 코인 전송을 사용자 확인 없이 할 수 있도록 바꿔놓았습니다. 사용자가 코인베이스에 로그인하려고 할 때, 삽입된 자바스크립트 콘텐츠(웹 인젝트)가 제일 먼저 이메일과 비밀번호 필드에 대한 Enter 키를 비활성화시키는 건데요, 이 때문에 사용자가 직접 Submit 버튼을 마우스로 클릭해야만 합니다.”
여기까지 만들어 놓으면 다음 단계는 뻔하다. 사용자가 클릭해야만 하는 곳에 새로운 버튼을 만들면 된다. 가짜 Submit 버튼을 만들되 악성 기능을 심어놓는 것이다. 이 단계에서의 목적은 사용자의 인증 정보를 빼앗는 것이고, 이를 바탕으로 로그인 후 계정 설정을 바꿔 사용자가 재차 확인하거나 동의하지 않아도 거래가 일어날 수 있도록 만드는 것이다.
“여기까지 성공했다면 사용자의 확인 없어도 여러 거래들을 진행할 수 있게 됩니다. 이중 인증도 소용이 없어지는 공격 방법입니다. 왜냐하면 사용자가 이상한 걸 눈치 채고 설정을 변경하려고 해도 공격자들이 차단시키기 때문입니다.”
블록체인인포 웹 사이트에 들어가는 웹 인젝트도 비슷한 기능을 실행한다. 다만 이 경우의 목적은 로그인 인증 정보가 아니라 비트코인 지갑에서 공격자가 가지고 있는 계정으로 돈을 직접 인출하는 것이 목적이 된다. 블록체인인포용 웹 인젝트는 이렇게 암호화폐를 훔쳐낸 후 사용자에게 ‘서비스 사용 불가(Service Unavailable)’라는 메시지를 노출시킨다. 사용자가 돈이 없어졌다는 사실을 최대한 늦게 알도록 하기 위함이다.
암호화폐를 조금이라도 더 벌기 위한 사이버 범죄자들의 전략은 앞으로도 계속해서 바뀔 전망이다. 최근 또 다른 보안 업체 미네르바(Minerva)는 사이버 공격자들이 파일레스 암호화폐 채굴 멀웨어인 고스트마이너(GhostMiner)를 사용해 암호화폐를 축적시킨다는 보고서를 발표하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]
암호화폐 훔치기 위한 각종 공격 기법 앞으로 계속 등장할 것
[보안뉴스 문가용 기자] 사이버 범죄자들이 여러 가지 방법을 동원해 지금의 암호화폐 열풍을 누리고 있다. 그 중 하나는 웹 인젝트(Web inject)를 사용해 사용자의 브라우저와 암호화폐 거래소 사이트 사이의 트래픽을 가로채 조작하는 것이다. 이렇게 함으로써 코인을 훔쳐 자신들의 계좌로 옮길 수 있게 된다.
[이미지 = iclickart]
서드파티 리스크 관리 전문 업체인 시큐리티스코어카드(SecurityScorecard)는 “최근 들어 사이버 범죄자들이 암호화폐 거래소인 코인베이스(Coinbase)와 비트코인 지갑 사이트인 블록체인인포(Blockchain.info)를 표적으로 웹 인젝트를 활발히 사용하고 있는 걸 발견했습니다. 수천에서 수만 개에 이르는 봇들이 웹 인젝트를 운영해 암호화폐를 훔쳐내고 있으며, 심각한 위협이 되고 있습니다.”
웹 인젝트란 사용자의 브라우저에 페이지가 만들어지기 전에 악성 콘텐츠를 웹 페이지 내에 주입시키는 코드라고 볼 수 있다. 웹 서버와 사용자 브라우저 사이의 통신을 가로채고 조작함으로써 가능해진다. 이런 류의 공격은 보통 사용자의 어떠한 주의도 끌지 못한다.
사이버 공격자들은 웹 인젝트 공격 기법을 사용해 웹 페이지의 특정 콘텐츠를 추가하거나 지울 수 있다. 예를 들면 로그인 화면에 필드(field)를 삽입해 PIN 번호를 탈취해낼 수 있고, 사용자의 주의를 끌 수 있는 경고 메시지를 지워내기도 한다. 주로 은행 계좌 크리덴셜을 훔칠 때 많이 사용된다. 이것이 암호화폐 쪽으로 응용되고 있는 게 시큐리티스코어카드의 설명이다.
현재 사이버 범죄자들은 코인베이스와 블록체인인포에 사용할 수 있는 웹 인젝트를 다크웹에서 쉽게 구매할 수 있다고 시큐리티스코어카드의 멀웨어 분석가인 도이나 코소반(Doina Cosovan)은 말한다. “특히 봇 마스터들이 많이 구매하는 추세입니다. 구매 후 자신들이 보유하고 있는 봇넷을 통해 웹 인젝트를 뿌려 코인베이스와 블록체인인포 웹사이트를 변형시키는 겁니다.”
코소반은 “웹 인젝트는 그 자체로 하나의 멀웨어가 아니며 ‘서비스’이기 때문에 다양한 멀웨어에 접목되어 사용될 수 있다”고 설명한다. “제우스(Zeus)와 램닛(Ramnit)과 특히 많이 결합되고 있습니다. 하지만 이 둘은 수많은 예시 중 하나일 뿐입니다. 사실 어떤 멀웨어를 운영하는 자라도 웹 인젝트를 사용하는 데 제한이 없습니다.”
시큐리티스코어카드가 발견한 코인베이스용 웹 인젝트는 사용자의 계정 옵션을 변경시킬 수 있도록 설계되어 있다고 한다. “디지털 코인 전송을 사용자 확인 없이 할 수 있도록 바꿔놓았습니다. 사용자가 코인베이스에 로그인하려고 할 때, 삽입된 자바스크립트 콘텐츠(웹 인젝트)가 제일 먼저 이메일과 비밀번호 필드에 대한 Enter 키를 비활성화시키는 건데요, 이 때문에 사용자가 직접 Submit 버튼을 마우스로 클릭해야만 합니다.”
여기까지 만들어 놓으면 다음 단계는 뻔하다. 사용자가 클릭해야만 하는 곳에 새로운 버튼을 만들면 된다. 가짜 Submit 버튼을 만들되 악성 기능을 심어놓는 것이다. 이 단계에서의 목적은 사용자의 인증 정보를 빼앗는 것이고, 이를 바탕으로 로그인 후 계정 설정을 바꿔 사용자가 재차 확인하거나 동의하지 않아도 거래가 일어날 수 있도록 만드는 것이다.
“여기까지 성공했다면 사용자의 확인 없어도 여러 거래들을 진행할 수 있게 됩니다. 이중 인증도 소용이 없어지는 공격 방법입니다. 왜냐하면 사용자가 이상한 걸 눈치 채고 설정을 변경하려고 해도 공격자들이 차단시키기 때문입니다.”
블록체인인포 웹 사이트에 들어가는 웹 인젝트도 비슷한 기능을 실행한다. 다만 이 경우의 목적은 로그인 인증 정보가 아니라 비트코인 지갑에서 공격자가 가지고 있는 계정으로 돈을 직접 인출하는 것이 목적이 된다. 블록체인인포용 웹 인젝트는 이렇게 암호화폐를 훔쳐낸 후 사용자에게 ‘서비스 사용 불가(Service Unavailable)’라는 메시지를 노출시킨다. 사용자가 돈이 없어졌다는 사실을 최대한 늦게 알도록 하기 위함이다.
암호화폐를 조금이라도 더 벌기 위한 사이버 범죄자들의 전략은 앞으로도 계속해서 바뀔 전망이다. 최근 또 다른 보안 업체 미네르바(Minerva)는 사이버 공격자들이 파일레스 암호화폐 채굴 멀웨어인 고스트마이너(GhostMiner)를 사용해 암호화폐를 축적시킨다는 보고서를 발표하기도 했다.
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-24] 
.jpg)
.jpg)
