카스퍼스키, 소스포지로 크립토 사용자 대상 주소 스왑 멀웨어 발견

보안 기업 카스퍼스키는 소프트웨어 호스팅 웹사이트 소스포지를 통해 크립토 사용자를 표적으로 하는 새로운 멀웨어에 대해 경고했다. 최근 발표에서 해당 기업은 웹사이트에 있는 소프트웨어 프로젝트 ‘Office Package’에 크립토 사용자를 표적으로 하는 주소 주입 멀웨어가 포함되어 있다고 밝혔다.

보고서에 따르면 Office Package 소프트웨어는 마이크로소프트 오피스 애드인을 포함한 정품 프로젝트다. 그러나 더 자세히 조사하면 패키지에 다운로드 링크가 포함되어 있어 다른 URL로 연결되는 사실이 드러난다.

거래소는 다음과 같이 밝혔습니다.

“조사 대상 프로젝트는 도메인 officepackage.sourceforge[.]io를 할당받았지만, 해당 도메인으로 접속했을 때 표시되는 페이지는 sourceforge.net의 officepackage와는 전혀 다르다.”

흥미롭게도 멀웨어 다운로드 과정은 상당히 복잡하다. 사용자는 파일을 다운로드하기 전에 세 개의 URL을 거치게 된다. 이러한 복잡한 과정은 사용자가 정품 애플리케이션을 다운로드한다고 믿도록 유인하기 위한 사기의 일부로 보인다.

카스퍼스키 보안 전문가들은 최종 설치 파일이 installer.msi이며, 악의적인 행위자들이 이를 정품 소프트웨어 설치 프로그램처럼 보이게 하기 위해 파일 크기를 700메가바이트로 부풀렸다고 지적했다. 불필요한 바이트를 제거한 후 실제 크기는 7메가바이트다.

설치 파일을 실행하면 사용자는 모르게 자신의 기기에 두 가지 악성 애플리케이션, 즉 마이너(Miner)와 클립뱅크어(ClipBanker)를 설치하게 된다. 클립뱅크어는 클립보드에 복사된 크립토 주소를 공격자의 주소로 대체하여 주소 주입을 가능하게 하며, 이로 인해 사용자는 잘못된 주소로 자금을 전송하게 된다.

보안 전문가들은 다음과 같이 작성했다.

“이 캠페인의 주요 악성 행동은 두 개의 AutoIt 스크립트를 실행하는 것으로 요약된다. Icon.dll은 AutoIt 인터프리터를 재시작하고 마이너를 주입하며, Kape.dll도 동일한 작업을 수행하지만 클립뱅크어를 주입한다.”

한편, 그들은 공격이 주로 러시아 대상이었다는 점도 지적했다. 이를 시사하는 증거로는 officepackage.sourceforge[.]io 사이트의 러시아어 인터페이스와, 1월부터 3월 말까지 멀웨어에 노출된 4,604명 중 90%가 러시아인이라는 사실이 있다.

주소 주입 사기 증가

카스퍼스키의 보고서는 여러 블록체인 보안 기업들이 보고한 최근 크립토 사용자를 대상으로 한 주소 주입 공격 증가 추세와 일치한다. 스캠 스니퍼(Scam Sniffer)의 데이터에 따르면 3월 발생한 세 번째로 큰 피싱 사건은 주소 주입 때문이었다.

사이버스(Cyvers)도 3월 첫 3주 동안 주소 주입 사기로 인해 120만 달러 이상의 손실이 발생했으며, 이는 2월의 180만 달러에 추가된 것이라고 보고했다. 해당 기업은 AI 기반 위협 탐지 시스템이 주소 주입 공격의 증가를 확인했다고 말했다.

대부분의 주소 주입 공격은 공격자가 피해자가 자주 사용하는 주소와 유사한 주소로 소액 거래를 수동으로 전송하는 결과이지만, 클립보드에서 주소를 변경할 수 있는 정교한 멀웨어의 사용은 악의적인 행위자들이 어떻게 진화하고 있는지를 보여준다.

보안 전문가들은 이 문제에 대한 최선의 해결책이 신뢰할 수 없는 출처에서 소프트웨어를 다운로드하지 않는 것이라고 믿는다. 그들은 악의적인 행위자들이 주로 비공식 소프트웨어 웹사이트를 통해 악성 애플리케이션을 배포하며, 이러한 웹사이트를 사용하는 사람들은 그 위험을 인지해야 한다고 지적했다.

그러나 그들은 이 멀웨어가 감염된 시스템에 접근할 수 있는 독창적인 방법을 제공함으로써 더 큰 문제를 제기한다고 지적했다. 따라서 제작자가 크립토 사용자 대상 공격을 넘어 더 위험한 악의적인 행위자들에게 이를 판매하기로 결정할 가능성도 있다.