리눅스 사용자용 Snap 스토어 플랫폼에서 암호화폐 탈취 백도어 감지

리눅스 사용자가 새로운 위협에 직면했습니다. 사이버 범죄자들이 Canonical의 Snap Store에 있는 치명적인 취약점을 악용하여 신뢰할 수 있는 개발자 계정을 하이재킹하고, 이를 통해 합법적인 지갑 응용 프로그램으로 위장한 암호화폐 탈취 멀웨어를 배포하고 있습니다.

SlowMist의 최고 정보 보안 책임자(CISO)인 23pds(X 핸들: @im23pds)는 공격자들이 연결된 도메인 이름이 만료된 개발자 계정을 모니터링하고 있다고 경고했습니다.

Snap Store 공격은 어떻게 작동합니까?

23pds가 작성함, “리눅스 사용자 여러분, 주의하십시오: Snap Store에서 새로운 유형의 공격이 기승을 부리고 있습니다. 만료된 도메인이 해커들에게 탈취되어 사용자의 암호화폐 자산을 훔치는 백도어로 전환되었습니다.

조작된 응용 프로그램들은 Exodus, Ledger Live, Trust Wallet 등 잘 알려진 암호화폐 지갑으로 위장하여, 사용자들이 자신의 '지갑 복구 시드 문구'를 입력하도록 속이고, 그 결과 자금 전체가 도난당합니다.”

대상 도메인이 만료되어 등록 가능해지면, 공격자들은 즉시 해당 도메인을 구매합니다. 그런 다음 해당 도메인에 연결된 이메일 주소를 사용하여 Snap Store의 비밀번호 재설정을 트리거합니다. 이를 통해 공격자들은 즉각적인 의심을 불러일으키지 않으면서도 오랫동안 확립되고 신뢰받는 출판자 신분에 대한 완전한 통제권을 얻습니다.

이러한 방법을 통해 최소 두 개의 개발자 계정이 침해된 것이 확인되었으며, storewise.tech와 vagueentertainment.com 도메인이 공격자들의 손에 넘어갔습니다.

전 Canonical 개발자이자 Ubuntu 기여자인 Alan Pope에 따르면, 크로아티아에 기반을 둔 것으로 추정되는 악의적 행위자들은 약 2년 동안 Snap Store 사용자를 대상으로 캠페인을 진행해 왔습니다.

도메인 탈취는 이러한 나쁜 행위자들의 행동에서 최근 발생했으며 가장 우려스러운 진화입니다. 이제 “수년간 사용자들이 설치하고 신뢰해 온 정품 소프트웨어에 해커들이 공식 업데이트 채널을 통해 하룻밤 사이에 악성 코드를 주입할 수 있게” 되었기 때문입니다.

23pds에 따르면, “조작된 응용 프로그램들은 보통 Exodus, Ledger Live, Trust Wallet 등 잘 알려진 암호화폐 지갑으로 위장하며, 인터페이스가 진품 버전과 거의 구별되지 않습니다.”

그는 “앱이 실행되면 먼저 원격 서버에 연결하여 네트워크를 확인한 후, 즉시 사용자에게 ‘지갑 복구 음운 구절(mnemonic phrase)’을 입력하라고 요청합니다. 사용자가 이를 제출하면 이러한 민감한 정보가 즉시 공격자의 서버로 전송되어 자금 도난으로 이어집니다.”라고 밝혔습니다.

피해자들은 종종 이상한 점을 눈치채기 전에 자금이 도난당했다는 사실을 알게 됩니다. 이는 공격이 오랫동안 유지되어 온 신뢰 관계를 악용하기 때문입니다.

주요 플랫폼들은 도메인 부활 공격을 어떻게 억제하고 있습니까?

GitHub, PyPI, npm은 모두 유사한 도메인 부활 공격을 경험했습니다. 2022년 학술 연구는 도메인이 나중에 만료된 이메일 주소로 구성된 2,800개 이상의 npm 개발자 계정을 식별했으며, 이는 잠재적 취약성의 규모를 보여줍니다.

2025년 6월, Python 보안 팀은 개발자 계정에서 1,800개 이상의 만료된 이메일 주소를 제거하여, 개발자들이 다음 로그인 시 활성 도메인으로 자격 증명을 다시 검증하도록 강제했습니다. 

이 문제는 보안 전문가들이 ‘인터넷 또는 링크 로트(link rot)’라고 부르는 것에서 비롯됩니다. 이는 개발자가 직장을 옮기거나 이메일 제공자를 변경할 때 모든 플랫폼에서 계정 정보를 업데이트하지 않아, 악용 가능한 보안 격차를 생성하는 현상입니다.

Pope는 Canonical이 출판자 계정의 도메인 만료 모니터링, 비활성 계정에 대한 추가 검증 요구, 의무적 2단계 인증(2FA) 구현 등 보호 장치를 구현하여 이 문제를 해결해야 한다고 밝혔습니다.