해커들이 AI를 사용하여 암호화폐 및 블록체인 프로젝트 데이터베이스를 표적으로 삼음

Check Point의 새로운 연구에 따르면, 약한 자격 증명과 AI 생성을 사용하는 암호화폐 및 블록체인 프로젝트 데이터베이스가 봇넷이 포착한 배포 패턴을 통해 해킹되고 있습니다.

사이버 보안 회사인 Check Point는 GoBruteforcer라는 이름의 악성 코드 봇넷이 리눅스 서버를 침해하여 자동화된 비밀번호 크래킹 노드로 전환할 수 있다고 밝혔습니다. 이 해킹 프로그램은 데이터베이스 서버, 파일 전송 서비스 및 웹 관리 패널을 포함하여 암호화폐 프로젝트가 사용하는 인프라에 영향을 미쳤습니다. 

GoBrut는 인터넷에서 보안이 취약한 서비스를 스캔하고 일반적인 사용자 이름과 약한 비밀번호를 사용하여 서비스에 로그인하려고 시도합니다. 시스템이 침해되면 해커 네트워크가 원격으로 접근할 수 있는 분산 네트워크에 추가됩니다.

GoBruteforcer 봇넷은 대략적으로 생각된 비밀번호를 해킹할 수 있습니다

Check Point의 보고서에 따르면 새로운 전망을 담은 블로그 게시물을 지난 수요일, 봇넷은 FTP, MySQL, PostgreSQL, phpMyAdmin과 같은 서비스의 보호 장치를 우회할 수 있었습니다. 이러한 프로그램은 블록체인 스타트업과 탈중앙화 앱 개발자가 사용자 데이터, 애플리케이션 로직 및 내부 대시보드를 관리하는 데 사용합니다.

GoBrute가 해킹한 시스템은 명령 및 제어 서버로부터 명령을 받아 공격할 서비스를 지정하고 브루트 포스 시도에 사용할 자격 증명을 제공합니다. 노출된 로그인 세부 정보는 다른 시스템에 접근하고, 개인 데이터를 훔치고, 숨겨진 계정을 생성하며, 봇넷의 범위를 확장하는 데 재사용됩니다.

Check Point는 또한 감염된 호스트가 악성 페이로드를 호스팅하거나, 새로운 피해자에게 악성 코드를 배포하거나, 핵심 시스템에 다운타임이 발생할 경우 백업 제어 서버로 재사용될 수도 있다고 언급했습니다.

마이크로소프트와 아마존과 같은 대형 기술 기업들을 포함한 많은 개발 팀이 이제 대규모 언어 모델(LLM)에서 생성하거나 온라인 포럼에서 복사한 코드 스니펫과 설정 가이드를 사용하고 있습니다. 

Check Point는 AI 모델이 새로운 비밀번호를 생성할 수 없고 일반적으로 배운 것을 모방하기 때문에 사용자 이름과 기본 비밀번호를 매우 예측 가능하게 만든다고 설명했습니다.시스템이 인터넷에 노출되기 전에 이를 충분히 빠르게 변경하지 않기 때문입니다. 

XAMPP와 같은 레거시 웹 스택을 사용하면 관리 서비스가 기본적으로 노출되고 해커에게 쉬운 진입점을 제공하므로 문제가 더욱 심각해집니다.

GoBruteforcer 캠페인은 2023 Unit 42 연구에서 시작되었습니다

GoBruteforcer는 2023년 3월 Palo Alto Networks의 Unit 42에 의해 처음 문서화되었으며, x86, x64 및 ARM 아키텍처를 갖춘 유닉스 유사 시스템을 침해할 수 있는 능력이 상세히 설명되었습니다. 이 악성 코드는 인터넷 릴레이 채팅 봇과 웹 쉘을 배포하여 공격자가 원격 접근을 유지할 수 있도록 합니다.

2025년 9월, Lumen Technologies의 Black Lotus Labs 연구원들은 다른 악성 코드 계열인 SystemBC와 연결된 감염된 기계의 일부가 또한 GoBruteforcer 노드임을 발견했습니다. Check Point 분석가는 공격에 사용된 비밀번호 목록을 약 1,000만 개의 유출된 자격 증명 데이터베이스와 비교하여 약 2.44%의 중복을 발견했습니다.

이 중복을 바탕으로, 그들은 수만 개의 데이터베이스 서버가 봇넷이 사용하는 비밀번호 중 하나를 허용할 수 있다고 추정했습니다. Google의 2024년 클라우드 위협 지평 보고서에 따르면, 약하거나 누락된 자격 증명은 침해된 클라우드 환경에서 초기 접근 벡터의 47.2%를 차지했습니다.

블록체인 및 AI 정찰이 개인 데이터를 노출한다는 연구 결과

GoBrute가 암호화폐 환경에서 추적된 사례에서 네트워크 해커들은 블록체인 프로젝트의 명명 규칙과 일치하는 암호화폐 테마 사용자 이름과 비밀번호 변형을 사용했습니다. 다른 캠페인은 프로젝트 웹사이트 및 대시보드를 위한 서비스인 WordPress 사이트와 연결된 phpMyAdmin 패널을 표적으로 삼았습니다. 

“일부 작업은 명확히 부문에 집중되어 있습니다. 예를 들어, cryptouser, appcrypto, crypto_app, crypto와 같은 암호화폐 테마 사용자 이름을 사용한 공격을 관찰했습니다. 이러한 실행에서 사용된 비밀번호는 표준 약한 목록에 cryptouser1 또는 crypto_user1234와 같은 암호화폐 전용 추측을 결합했습니다,”라고 Check Point는 비밀번호 예시를 언급하며 말했습니다.

Check Point는 TRON 블록체인 주소를 스캔하고 공개 블록체인 API를 통해 잔액을 쿼리하여 자금을 보유한 지갑을 식별하는 모듈을 호스팅하는 데 사용된 침해된 서버를 식별했습니다.

“노출된 인프라, 약한 자격 증명 및 점점 더 자동화된 도구의 조합. 봇넷 자체는 기술적으로 단순하지만, 운영자는 온라인으로 구성된 서비스의 수로부터 혜택을 받습니다,”라고 보안 회사는 썼습니다.