메신저 애플리케이션 디스코드, 서서히 범죄자들의 소굴로 전락하더니
랜섬웨어 기능도 가지고 있는 RAT...아직 개발 단계이지만 곧 완성될 듯
[보안뉴스 문가용 기자] 메신저 애플리케이션인 디스코드(Discord)를 C&C로 활용하는 멀웨어가 처음으로 발견됐다. 이 멀웨어의 이름은 아바돈(Abaddon)으로, 일종의 원격 접근 트로이목마(RAT)인 것으로 분석됐다. 아바돈은 디스코드를 통해 명령을 받고, 이를 피해자의 시스템에서 수행한다고 한다.
디스코드가 사이버 범죄에 활용된 것이 처음 있는 일은 아니다. 다만 그 동안 범죄자들은 디스코드를 훔친 데이터를 저장해놓는 곳이나, 멀웨어를 클라이언트에게 넘겨주는 장소 정도로만 활용했었다. 그 외에 범죄를 논의하는 곳이기도 했다. 그러나 멀웨어와 연동되는 C&C 서버로서 디스코드가 활용된 사례는 현재까지 없다.
디스코드를 C&C로 쓰는 아바돈을 제일 처음 발견한 건 멀웨어헌터팀(MalwareHunterTeam)이다. 블리핑컴퓨터를 통해 멀웨어헌터팀이 발표한 바에 의하면 아바돈은 컴퓨터를 감염시킨 후 다음 정보를 제일 먼저 검색해 빼돌린다고 한다.
1) 크롬 쿠키
2) 크롬에 저장된 신용카드 정보와 크리덴셜
3) 스팀용 크리덴셜과 설치된 게임 목록
4) 디스코드 토큰과 다중인증 관련 정보
5) 파일 목록
6) 시스템 정보(국가, IP 주소, 하드웨어 정보 등)
이 정보는 아바돈이 자동으로 훔쳐내는 것으로 C&C 서버와의 연동이 발휘되지는 않는다. 다만 정보를 훔쳐낸 다음에는 이를 디스코드에 마련된 C&C 서버로 보내기 시작한다. 그러면서 추가로 실행할 명령을 기다리는 상태로 전환된다.
현재까지 발견된 ‘추가 명령’에는 다음과 같은 것들이 있다고 한다.
1) 컴퓨터로부터 특정 파일이나 디렉토리 전체 탈취
2) 드라이브 목록 작성 및 전송
3) 리버스 셸 열기(이를 통해 공격자는 명령을 실행할 수 있게 된다)
4) 랜섬웨어 실행
5) 추가로 수집된 정보를 서버로 보내고 난 뒤 저장된 탈취 정보 삭제
아바돈은 10초에 한 번씩 서버와의 연결을 갱신해 새로운 명령을 받는다고 한다. 때문에 공격자 입장에서는 지속적으로 감염된 PC를 통해 새로운 데이터를 탐지해 빼돌릴 수 있게 된다. 또한 새로 입수된 데이터에 따라 새로운 명령을 전송하는 것도 가능하게 된다.
이번 아바돈이 보안 전문가들을 걱정시키게 만드는 건 위에서 언급한 4)번 기능 때문이다. 정보를 빼돌리는 RAT라고 하지만 랜섬웨어 기능도 가지고 있다는 게 큰 위협이 되고 있다. 멀웨어헌터팀에 의하면 아바돈은 기본적인 암호화 알고리즘을 가지고 파일들을 암호화 하고, 협박 편지를 전송하며, 돈을 받은 후 파일을 복호화 하는 기능을 가지고 있다고 한다.
불행 중 다행이라면 이 랜섬웨어 기능이 아직 개발 중에 있는 것으로 보이기 때문이다. 협박 편지가 미완성 상태이며, 현재 공격자들이 이 부분에 손을 대고 있는 것으로 보인다. 멀웨어헌터팀은 현재 랜섬웨어가 범죄자들에게 큰 수익을 올려주는 요소이기 때문에 여러 유형의 사이버 공격과 랜섬웨어가 접목된 형태가 계속해서 나타날 것이라고 경고하기도 했다.
3줄 요약
1. 디스코드, 범죄자들의 소굴로 전락해 가는 메신저 앱 중 하나.
2. 범죄 논의, 물품 거래 등이 이뤄졌었는데, 최근에는 C&C로도 활용되기 시작.
3. 특히 주목되는 건 아직 개발 중에 있는 랜섬웨어 기능.
[국제부 문가용 기자(globoan@boannews.com)]
랜섬웨어 기능도 가지고 있는 RAT...아직 개발 단계이지만 곧 완성될 듯
[보안뉴스 문가용 기자] 메신저 애플리케이션인 디스코드(Discord)를 C&C로 활용하는 멀웨어가 처음으로 발견됐다. 이 멀웨어의 이름은 아바돈(Abaddon)으로, 일종의 원격 접근 트로이목마(RAT)인 것으로 분석됐다. 아바돈은 디스코드를 통해 명령을 받고, 이를 피해자의 시스템에서 수행한다고 한다.
[이미지 = utoimage]
디스코드가 사이버 범죄에 활용된 것이 처음 있는 일은 아니다. 다만 그 동안 범죄자들은 디스코드를 훔친 데이터를 저장해놓는 곳이나, 멀웨어를 클라이언트에게 넘겨주는 장소 정도로만 활용했었다. 그 외에 범죄를 논의하는 곳이기도 했다. 그러나 멀웨어와 연동되는 C&C 서버로서 디스코드가 활용된 사례는 현재까지 없다.
디스코드를 C&C로 쓰는 아바돈을 제일 처음 발견한 건 멀웨어헌터팀(MalwareHunterTeam)이다. 블리핑컴퓨터를 통해 멀웨어헌터팀이 발표한 바에 의하면 아바돈은 컴퓨터를 감염시킨 후 다음 정보를 제일 먼저 검색해 빼돌린다고 한다.
1) 크롬 쿠키
2) 크롬에 저장된 신용카드 정보와 크리덴셜
3) 스팀용 크리덴셜과 설치된 게임 목록
4) 디스코드 토큰과 다중인증 관련 정보
5) 파일 목록
6) 시스템 정보(국가, IP 주소, 하드웨어 정보 등)
이 정보는 아바돈이 자동으로 훔쳐내는 것으로 C&C 서버와의 연동이 발휘되지는 않는다. 다만 정보를 훔쳐낸 다음에는 이를 디스코드에 마련된 C&C 서버로 보내기 시작한다. 그러면서 추가로 실행할 명령을 기다리는 상태로 전환된다.
현재까지 발견된 ‘추가 명령’에는 다음과 같은 것들이 있다고 한다.
1) 컴퓨터로부터 특정 파일이나 디렉토리 전체 탈취
2) 드라이브 목록 작성 및 전송
3) 리버스 셸 열기(이를 통해 공격자는 명령을 실행할 수 있게 된다)
4) 랜섬웨어 실행
5) 추가로 수집된 정보를 서버로 보내고 난 뒤 저장된 탈취 정보 삭제
아바돈은 10초에 한 번씩 서버와의 연결을 갱신해 새로운 명령을 받는다고 한다. 때문에 공격자 입장에서는 지속적으로 감염된 PC를 통해 새로운 데이터를 탐지해 빼돌릴 수 있게 된다. 또한 새로 입수된 데이터에 따라 새로운 명령을 전송하는 것도 가능하게 된다.
이번 아바돈이 보안 전문가들을 걱정시키게 만드는 건 위에서 언급한 4)번 기능 때문이다. 정보를 빼돌리는 RAT라고 하지만 랜섬웨어 기능도 가지고 있다는 게 큰 위협이 되고 있다. 멀웨어헌터팀에 의하면 아바돈은 기본적인 암호화 알고리즘을 가지고 파일들을 암호화 하고, 협박 편지를 전송하며, 돈을 받은 후 파일을 복호화 하는 기능을 가지고 있다고 한다.
불행 중 다행이라면 이 랜섬웨어 기능이 아직 개발 중에 있는 것으로 보이기 때문이다. 협박 편지가 미완성 상태이며, 현재 공격자들이 이 부분에 손을 대고 있는 것으로 보인다. 멀웨어헌터팀은 현재 랜섬웨어가 범죄자들에게 큰 수익을 올려주는 요소이기 때문에 여러 유형의 사이버 공격과 랜섬웨어가 접목된 형태가 계속해서 나타날 것이라고 경고하기도 했다.
3줄 요약
1. 디스코드, 범죄자들의 소굴로 전락해 가는 메신저 앱 중 하나.
2. 범죄 논의, 물품 거래 등이 이뤄졌었는데, 최근에는 C&C로도 활용되기 시작.
3. 특히 주목되는 건 아직 개발 중에 있는 랜섬웨어 기능.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
