라자루스 그룹, 거래소에 ‘캔디콘’ 멀웨어 배포

Elastic Security Labs는 최근 발표한 중요한 사이버 보안 개발 사항을 공개했습니다. Lazarus Group이 “Kandykorn”이라는 새로운 형태의 멀웨어를 사용하여 암호화폐 거래소를 침해하려는 시도입니다. 이 멀웨어와 함께 distinctive “.sld” 확장자로 인식되는 로더 프로그램 “Sugarload”가 동반되었습니다. 특정 대상 거래소는 공개되지 않았지만, Lazarus Group이 사용한 방법은 상당한 우려를 자아냅니다.

이라스틱 보안 연구소, 라자루스 그룹의 활동 공개

2023년 암호화폐 거래소에서의 개인 키 해킹이 급증했으며, 이는 주로 북한의 사이버 범죄 그룹인 라자루스 그룹의 소행으로 지목되었습니다. 이 공격에서 라자루스 그룹의 수법은 블록체인 엔지니어로 가장하여, 이름이 알려지지 않은 암호화폐 거래소의 엔지니어들과 디스코드를 통해 소통하는 것이었습니다. 협력자처럼 가장한 그들은 다양한 거래소 간 암호화폐 가격 차이를 이용할 수 있는 차익 거래 봇을 제공했습니다.

파일들을 프로그램의 ZIP 폴더 내에 ‘config.py’와 ‘pricetable.py’로 위장하여 차익 거래 봇처럼 보이게 함으로써, 엔지니어들을 설득하여 유익해 보이는 ‘봇’을 다운로드하도록 했습니다. 실행 시 프로그램은 ‘Main.py’ 파일을 시작했으며, 여기에는 무해한 프로그램과 악의적인 구성 요소인 ‘Watcher.py’가 모두 포함되어 있었습니다. Watcher.py는 원격 Google Drive 계정에 연결하여 ‘testSpeed.py’라는 파일에 콘텐츠를 다운로드했습니다.

일회성 실행 후 testSpeed.py는 추가 콘텐츠를 다운로드하고 ‘Sugarloader’라는 파일을 실행했습니다. 악의적인 Sugarloader 파일은 ‘바이너리 패커’를 사용하여 숨겨졌으며, 이는 대부분의 멀웨어 탐지 시스템을 우회할 수 있게 했습니다. 이라스틱은 초기화 함수가 시작된 후 프로그램을 중단하고 프로세스의 가상 메모리를 스냅샷 찍어 이를 식별했습니다. 바이러스토탈(VirusTotal)의 멀웨어 탐지에서는 악성으로 분류되지 않았지만, Sugarloader는 원격 서버에 연결되면 캔디콘을 시스템에 다운로드했습니다.

암호화폐 부문에서의 증가하는 사이버 보안 과제 2023

디바이스의 메모리에 위치한 캔디콘은 원격 서버가 악의적인 활동을 수행할 수 있도록 하는 다양한 기능을 갖추고 있습니다. 예를 들어, ‘0xD3’ 명령은 피해자의 컴퓨터 디렉토리 내용을 나열할 수 있으며, ‘resp_file_down’은 피해자의 파일을 공격자의 시스템으로 전송할 수 있습니다. 이라스틱은 이 공격이 2023년 4월경에 발생했을 가능성이 높으며, 이는 악의적인 의도로 도구와 기술을 지속적으로 발전시키는 지속적인 위협을 의미한다고 제안했습니다.

이러한 발전은 2023년에 관찰된 prevailing한 추세와 일치합니다. 이 해에는 중앙화 암호화폐 거래소와 앱들이 여러 공격을 겪었습니다. 알파포(Alphapo), 코인페이드(CoinsPaid), 아토믹 월렛(Atomic Wallet), 코인엑스(Coinex), 스테이크(Stake) 등이 표적이 되었으며, 공격에는 피해자의 기기에서 개인 키를 도용하여 고객의 암호화폐를 공격자의 주소로 전송하는 행위가 포함되었습니다. 미국 연방수사국(FBI)을 포함한 당국은 이러한 공격 중 여러 건을 라자루스 그룹과 연관 지었습니다.

코인엑스 해킹 및 스테이크 공격과 같은 사건들은 이 사이버 범죄 조직과 관련이 있습니다. 라자루스 그룹의 활동 맥락에서 캔디콘(Kandykorn)과 그 관련 로더인 설탕로드(Sugarload)의 출현은 암호화폐 분야에서 상당한 보안 우려를 제기합니다. 이러한 위협의 지속성은 이러한 악의적인 활동을 막기 위해 경계심을 강화하고 보안 조치를 지속적으로 개선할 필요성을 시사합니다.