지난 8일(현지 시간) 미국 IT 전문매체 블리핑 컴퓨터(Bleeping Computer) 보도에 따르면, 위협 행위자들이 잘 만들어진 가짜 포켓몬 대체 불가능 토큰(NFT) 게임을 위장해 악성 코드를 배포하는 중이다.
위협 행위자들이 배포하는 악성 코드는 ‘NetSupport 원격 접근 도구(Remote Access Tool, RAT)’다. 정상 목적으로 사용되는 형태가 아니라 공격자가 피해자에게 감염 시스템을 제어하기 위한 설정 형태로 유포되고 있다.
지난해 12월, 해당 악성 코드가 처음으로 보고됐다. 구글 자회사 바이러스토탈(VirusTotal)은 위협 행위자가 파일 내에 포켓몬 게임 대신 가짜 비주얼 스튜디오(Visual Studio) 파일을 구성했다고 말했다. 비주얼 스튜디오는 마이크로소프트(MS)가 개발한 통합 개발 환경(Integrated Development Environment, IDE) 프로그램이다.
(출처: Bleeping Computer)
포켓몬 NFT 카드 게임으로 위장한 피싱(Phishing) 페이지의 사이트 주소는 ‘pokemen-go[.]io’와 ‘beta-pokemoncards[.]io’다. 두 사이트 모두 위협 행위가 보고됐으나 두 번째 사이트는 현재 비활성화된 상태다. 위협 행위자들은 피싱 페이지에서 공식 포켓몬 프랜차이즈의 새로운 NFT 카드 게임이라고 주장했다. 또한 피싱 페이지에서 사용자들에게 NFT 투자 수익과 전략 카드 게임으로 인한 재미를 제공한다고 설명했다. 피싱 공격은 공격자가 합법적이지 않은 방법을 이용해 개인 정보, 기업 정보 등 기밀 정보를 취득하는 공격을 말한다.
포켓몬과 NFT의 인기를 모두 고려하면 위협 행위자들이 악성 스팸, 소셜 미디어 게시물 등 이용해 해당 피싱 사이트에 이용자를 끌어들이는 것은 어렵지 않을 것으로 보인다.
피싱 사이트에 접속하면 메인에 윈도우 로고와 함께 ‘Play on PC’라는 버튼이 표시된다. 만약 여기서 이용자가 이 버튼을 클릭하면 합법적인 게임 설치 프로그램처럼 보이는 실행 파일이 다운로드된다. 하지만 실제로는 이용자의 컴퓨터 환경에 NetSupport RAT가 설치된다.
‘Net Support Manager’ 프로그램 자체는 합법적인 소프트웨어 제품이다. 그러나 Net Support RAT는 다양한 공격자들이 악의적인 목적으로 많이 사용한다. 국내 사이버 보안 업체 안랩(AhnLab)의 시큐리티대응센터(ASEC)에 따르면, NetSupport RAT는 최근까지도 송장이나 선적 서류, 구매 주문서 등으로 위장한 스팸 메일로 유포되는 중이다. 또한 이처럼 특정 피싱 페이지로 위장해 사용자가 소프트웨어를 설치하도록 유도하는 식으로도 공격이 이뤄지는 중이다.
(출처: ASEC)
NetSupport RAT 악성 코드 프로그램이 피해자 시스템에 설치되면 앞서 말했듯이 공격자는 피해자의 환경에 설치된 감염 시스템에 대한 제어권을 획득할 수 있다. NetSupport 자체적으로 지원하는 기능으로 스크린 캡처, 클립 보드 공유, 웹 히스토리 정보 수집, 파일 관리, 명령 실행 같은 시스템 제어권에 관한 기능이 제공된다. 뿐만 아니라, 원격 시스템을 그룹화해서 사용하는 기능도 지원하며 네트워크 트래픽 암호화처럼 네트워크 연결 옵션도 제공한다.
따라서 악성 코드가 피해자 컴퓨팅 환경에 설치되면 광범위하게 피해가 발생한다. 그 중에서도 특히 공격자는 악성 코드를 이용해 공격자가 피해자의 정보를 탈취하고, 다른 악성 코드 프로그램 설치하는 방식으로 추가 피해를 발생시킨다. 이외에도 공격자는 피해자의 컴퓨팅 환경에서 다양한 악성 행위를 펼칠 수 있다.
그러므로 사용자들은 악성 코드가 다운로드 되기 전 즉, 악성 코드로부터 감염되기 이전에 미리 예방해야 한다. 사용자는 외부에서 프로그램을 설치할 때 공식 홈페이지에서 구매하거나 다운로드해야 한다. 만약 공식 홈페이지로 보인다고 하더라도 믿을 만한 포털 사이트(portal site)에 도메인 주소를 검색해 정말 공식 홈페이지가 맞는지 확인한다. 또한 발신인이 불분명하거나 내용의 일부가 어색한 것처럼 의심스러운 메일을 수신하게 되면 메일에 첨부된 파일을 다운로드하거나 실행하지 말고, 즉시 스팸으로 분류하거나 메일을 삭제하는 등 사용자의 메일함으로부터 의심 메일을 격리시켜야 한다. 마지막으로 사용자의 컴퓨터 환경에서 가동 중인 운영체제(OS)나 인터넷 브라우저와 백신 프로그램을 포함해 각종 프로그램을 사용할 때 반드시 최신 버전이나 최신 보안 패치로 업데이트해야 한다.
테크플러스 에디터 박효정
tech-plus@naver.com
댓글0