.jpg)
페이스북 사용자 크리덴셜 노리는 가짜 앱, 스트레스페인트
고도의 기술력 가진 배후 세력 존재할 가능성 높아
[보안뉴스 문가용 기자] 스트레스를 풀어주는 애플리케이션처럼 보이는 멀웨어가 사실 수많은 페이스북 사용자들의 스트레스 유발자라는 연구 결과가 발표됐다. 현재는 더 이상 진행되지 않고 있는 공격인 것으로 보이지만 앞으로 비슷한 사례가 더 나올 가능성이 충분하기에 상세 내용이 보안 업체 라드웨어(Radware)에 의해 언급됐다.
먼저 이 멀웨어의 이름은 스트레스페인트(Stresspaint)로 페이스북 사용자들의 크리덴셜을 갈무리하는 기능을 가지고 있다. “정보가 도난당하고 있다는 수집됐고, 이를 좀 더 추적해본 결과 흥미로운 C&C 체제를 발견할 수 있었습니다.” 라드웨어의 수석 연구원인 아디 라프(Adi Raff)의 설명이다.
스트레스페인트를 심어놓은 위협 행위자들은 ‘아무 페이스북 사용자’의 크리덴셜을 노린 것이 아니라고 한다. “페이스북 계정들 중 페이스북 페이지를 운영하고 있거나 지불 기능과 연결된 계정만을 노립니다. 또한 그 중에서도 팔로워가 많은 계정을 선호하는 듯 합니다.”
스트레스포인트 멀웨어는 이메일이나 페이스북 메시지를 통해 전달된다. 두 경우 모두 악성 링크를 포함하고 있는데, Relieve Stree Paint라는 정상적인 앱이 설치되는 것처럼 안내된다. 게다가 다운로드가 되는 사이트가 AOL.com이라는 정상 웹사이트인 것처럼 보이기 때문에 사용자들은 쉽게 속는다. 하지만 자세히 보면 AOL.com이 아니라 유니코드로 작성된 글자이기 때문에 전혀 다른 사이트로 연결된다.
이런 식으로 사용자를 속여 다운로드에 성공하게 되면 이름 그대로 그림 그리기 종류의 프로그램이 기기에서 실행된다. 하지만 그 뒤에서는 사용자 기기 내 데이터를 분류하고 수집한다. 특히 페이스북 크리덴셜이나 로그인 쿠키를 뒤진다. 그래서 원하는 것을 찾으면 C&C 서버로 이를 전송하는데, 이 서버는 중국의 오픈소스 콘텐츠 관리 시스템인 Layuicms2.0에 기반을 두고 있다.
스트레스포인트 멀웨어는 일반적인 사용자 크리덴셜이나 개인정보를 노리는 것이 아니기 때문에 보안 프로그램들이 발동되지 않는 경우가 대부분이다. 실제로 스트레스포인트가 한창 활동 중일 때는 약 1만 개 시스템이 하루 안에 감염됐다. 이는 성공적인 봇넷 캠페인의 하루 감염 성공률과 비슷하다.
라프는 “스트레스페인트 공격의 배후에 있는 이들은 단순 아마추어 해커들이 아닌 것으로 보인다”고 말한다. “스트레스페인트에 대한 발표를 하기 조금 전에 변종이 출현했어요. 즉 계속해서 하던 일을 할 수 있도록 조치를 취한 것이죠. 게다가 하루에 1만 대 시스템에 대한 감염을 성공시키려면 아마추어나 일반적인 해커들의 기술을 능가하는 실력자가 필요합니다. 스트레스페인트 공격자들은 실력과 자원의 기반이 든든한 것으로 보입니다.”
또한 라드웨어가 발표하기 전에 변종을 만들었다는 건, 라드웨어의 추적 행위를 알고 있었다는 뜻도 된다. “저희가 블로그에 먼저 스트레스페인트에 대한 이야기를 한 적이 있어요. 이를 공격자들이 본 것으로 보입니다. 또한 감염 성공률도 내려가기 시작했고요. 그런 징후들이 있고 수시간만에 C&C 서버가 비활성화 됐습니다. 굉장히 민감하고 빠르게 반응한 것이죠.”
라프는 “C&C로 활용되는 CMS의 일부가 아마존과 연계되어 있다”는 점도 지적하며 “아마 추가적인 공격 계획이 있는 것으로 보인다”고 분석한다.
페이스북 사용자라면 이 공격을 피하기 위해 기본적인 보안 수칙을 잘 지켜야 한다고 라프는 강조한다. “링크를 함부로 누르지 않는 것과, 이중인증 옵션을 사용하는 것, 그리고 유니코드 글자와 일반 알파벳을 구분할 줄 아는 것이 필요합니다. 이것만 잘 지켜도 스트레스페인트의 공격은 성공하기 힘들어집니다.”
[국제부 문가용 기자(globoan@boannews.com)]
고도의 기술력 가진 배후 세력 존재할 가능성 높아
[보안뉴스 문가용 기자] 스트레스를 풀어주는 애플리케이션처럼 보이는 멀웨어가 사실 수많은 페이스북 사용자들의 스트레스 유발자라는 연구 결과가 발표됐다. 현재는 더 이상 진행되지 않고 있는 공격인 것으로 보이지만 앞으로 비슷한 사례가 더 나올 가능성이 충분하기에 상세 내용이 보안 업체 라드웨어(Radware)에 의해 언급됐다.
[이미지 = iclickart]
먼저 이 멀웨어의 이름은 스트레스페인트(Stresspaint)로 페이스북 사용자들의 크리덴셜을 갈무리하는 기능을 가지고 있다. “정보가 도난당하고 있다는 수집됐고, 이를 좀 더 추적해본 결과 흥미로운 C&C 체제를 발견할 수 있었습니다.” 라드웨어의 수석 연구원인 아디 라프(Adi Raff)의 설명이다.
스트레스페인트를 심어놓은 위협 행위자들은 ‘아무 페이스북 사용자’의 크리덴셜을 노린 것이 아니라고 한다. “페이스북 계정들 중 페이스북 페이지를 운영하고 있거나 지불 기능과 연결된 계정만을 노립니다. 또한 그 중에서도 팔로워가 많은 계정을 선호하는 듯 합니다.”
스트레스포인트 멀웨어는 이메일이나 페이스북 메시지를 통해 전달된다. 두 경우 모두 악성 링크를 포함하고 있는데, Relieve Stree Paint라는 정상적인 앱이 설치되는 것처럼 안내된다. 게다가 다운로드가 되는 사이트가 AOL.com이라는 정상 웹사이트인 것처럼 보이기 때문에 사용자들은 쉽게 속는다. 하지만 자세히 보면 AOL.com이 아니라 유니코드로 작성된 글자이기 때문에 전혀 다른 사이트로 연결된다.
이런 식으로 사용자를 속여 다운로드에 성공하게 되면 이름 그대로 그림 그리기 종류의 프로그램이 기기에서 실행된다. 하지만 그 뒤에서는 사용자 기기 내 데이터를 분류하고 수집한다. 특히 페이스북 크리덴셜이나 로그인 쿠키를 뒤진다. 그래서 원하는 것을 찾으면 C&C 서버로 이를 전송하는데, 이 서버는 중국의 오픈소스 콘텐츠 관리 시스템인 Layuicms2.0에 기반을 두고 있다.
스트레스포인트 멀웨어는 일반적인 사용자 크리덴셜이나 개인정보를 노리는 것이 아니기 때문에 보안 프로그램들이 발동되지 않는 경우가 대부분이다. 실제로 스트레스포인트가 한창 활동 중일 때는 약 1만 개 시스템이 하루 안에 감염됐다. 이는 성공적인 봇넷 캠페인의 하루 감염 성공률과 비슷하다.
라프는 “스트레스페인트 공격의 배후에 있는 이들은 단순 아마추어 해커들이 아닌 것으로 보인다”고 말한다. “스트레스페인트에 대한 발표를 하기 조금 전에 변종이 출현했어요. 즉 계속해서 하던 일을 할 수 있도록 조치를 취한 것이죠. 게다가 하루에 1만 대 시스템에 대한 감염을 성공시키려면 아마추어나 일반적인 해커들의 기술을 능가하는 실력자가 필요합니다. 스트레스페인트 공격자들은 실력과 자원의 기반이 든든한 것으로 보입니다.”
또한 라드웨어가 발표하기 전에 변종을 만들었다는 건, 라드웨어의 추적 행위를 알고 있었다는 뜻도 된다. “저희가 블로그에 먼저 스트레스페인트에 대한 이야기를 한 적이 있어요. 이를 공격자들이 본 것으로 보입니다. 또한 감염 성공률도 내려가기 시작했고요. 그런 징후들이 있고 수시간만에 C&C 서버가 비활성화 됐습니다. 굉장히 민감하고 빠르게 반응한 것이죠.”
라프는 “C&C로 활용되는 CMS의 일부가 아마존과 연계되어 있다”는 점도 지적하며 “아마 추가적인 공격 계획이 있는 것으로 보인다”고 분석한다.
페이스북 사용자라면 이 공격을 피하기 위해 기본적인 보안 수칙을 잘 지켜야 한다고 라프는 강조한다. “링크를 함부로 누르지 않는 것과, 이중인증 옵션을 사용하는 것, 그리고 유니코드 글자와 일반 알파벳을 구분할 줄 아는 것이 필요합니다. 이것만 잘 지켜도 스트레스페인트의 공격은 성공하기 힘들어집니다.”
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
