Stantinko 봇넷, 암호화폐 채굴 모듈 배포해 ‘모네로’ 채굴했다

ESET, Stantinko 봇넷 범죄자들이 2018년 8월부터 암호화폐 채굴하기 시작했다고 공개
ESET 보안 제품 ‘2019 Gartner Peer Insights Customers’ Choice for Endpoint Protection Platforms’ 선정

[보안뉴스 원병철 기자] 2012년부터 활동하며 약 50만대의 컴퓨터를 제어하는 Stantinko 봇넷의 해커들이 최근 암호화폐 Monero의 채굴 모듈을 그들이 제어하는 컴퓨터에 배포하고 있음을 발견했다고 ESET(이셋)이 밝혔다. Stantinko 봇넷 해커들은 주로 러시아, 우크라이나, 벨로루시 및 카자흐스탄의 사용자를 표적으로 삼고 있었지만, 최근 이들이 암호화폐 채굴을 새로운 비즈니스 모델로 확장한 것 같다고 ESET은 밝혔다.

[이미지=iclickart]]

이번 연구를 수행한 ESET 맬웨어 분석가인 Vladislav Hr.ka는, “수년 간 클릭 사기, 광고 삽입, 소셜 네트워크 사기 및 자격 증명 도용을 해온 Stantinko는 Monero를 채굴하기 시작했다. 그들은 2018년 8월부터 그들이 제어하는 컴퓨터에 암호화폐 채굴 모듈을 배포해 왔다”라고 설명했다.

ESET 보안 제품이 ‘Win{32,64}/CoinMiner.Stantinko’로 탐지하는 Stantinko의 암호화 모듈은 ‘smr-stak 오픈소스 채굴 모듈’의 변조된 버전이다. 이 모듈의 가장 주목할 만한 기능은 분석을 방해하고 탐지를 피하기 위해 난독화되는 방식이다. Hr.ka는 “소스 레벨 난독화를 무작위로 사용하고 Stantinko의 운영자들이 새로운 피해자를 대상으로 하는 모듈을 컴파일하기 때문에 이 모듈의 각 샘플은 고유하다”라고 언급했다.

난독화 외에도 CoinMiner.Stantinko는 몇 가지 흥미로운 트릭을 사용한다. 이 모듈은 통신을 숨기기 위해 마이닝 풀과 직접 통신하지 않고 YouTube 비디오의 설명 텍스트에서 얻은 IP 주소의 프록시를 이용한다(최근 ESET 연구원이 분석한 뱅킹 맬웨어인 Casbaneiro 가 YouTube 비디오 설명에 데이터를 숨기는 것과 비슷한 기술이다). Hr.ka는, “이러한 악용 사례를 YouTube에 알렸으며, 이 비디오가 포함된 모든 채널이 삭제되었다”고 했다.

CoinMiner.Stantinko는 피해자의 의심을 피하기 위해 PC가 배터리 전원 사용 모드이거나, 작업 관리자가 감지되면 채굴 기능을 일시 중단한다. 또한 다른 채굴 프로그램이 컴퓨터에서 실행 중인지 확인해 일시적으로 중지시킨다. CoinMiner.Stantinko는 또한 실행 중인 프로세스를 스캔하여 보안 소프트웨어를 감지합니다.

Hr.ka는 “CoinMiner.Stantinko는 가장 위험한 맬웨어와는 거리가 있지만 컴퓨터가 범죄자들에게 돈을 버는 도구로 이용되는 것은 아주 짜증나는 일”이라면서, “더 놀라운 것은 Stantinko가 언제든지 피해자의 컴퓨터에 다른 맬웨어를 심을 수 있다는 사실”이라고 경고했다. ESET 연구원들은 이러한 위협으로부터 사용자를 안전하게 보호하기 위해 기본 보안 방식을 고수하고 평판이 좋은 보안 솔루션을 사용할 것을 권장했다.

한편 이셋코리아는 ESET 보안 제품이 ‘2019 Gartner Peer Insights Customers’ Choice for Endpoint Protection Platforms’ 에 선정됐다고 밝혔다. 이셋코리아에 따르면 253명의 엔터프라이즈급 사용자는 ESET Endpoint Security를 모든 기준에서 5점 만점에 4.6점으로 평가하여 구현의 용이성, 안정성, 벤더 응답의 적시성 및 기술지원 품질을 인정했다.
[원병철 기자(boanone@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)