- 연구진에 따르면 북한 해커들이 이제 블록체인으로 암호화폐 탈취 악성코드를 숨기고 있습니다.
- 북한 해커들은 현재 사회공학적 공격에서 'EtherHiding'을 사용하고 있습니다.
- 연구진들은 해커들이 악의적인 목적으로 블록체인의 기능을 활용하고 있다고 주장합니다.
북한 해커들은 이제 암호화폐 절도 작업을 용이하게 하기 위해 맬웨어를 전달하는 데 EtherHiding이라는 블록체인 기반 방법을 사용하고 있습니다. 전문가들에 따르면, 북한 해커가 이 방법을 사용하는 것이 발견되었으며, 공격자들은 JavaScript 페이로드와 같은 코드를 블록체인 기반 스마트 계약 내에 삽입합니다.
이 방법을 사용하여 해커들은 분산 원장을 탄력적인 명령 및 제어(C2)로 전환합니다. Google Threat Intelligence Group(GTIG)의 블로그 게시글에 따르면, 이는 이러한 규모의 행위자가 이 방법을 사용한 것이 처음 관찰된 사례입니다. GTIG는 EtherHiding을 사용하는 것이 기존의 제거 및 차단 목록화 노력에 직면했을 때 편리하다고 주장했습니다. 이 위협 인텔리전스 그룹은 2025년 2월부터 위협 행위자 UNC5342를 추적해 왔으며, 진행 중인 소셜 엔지니어링 캠페인에 EtherHiding을 통합했다고 언급했습니다.
북한 해커들이 EtherHiding으로 전환
Google은 EtherHiding의 사용이 Palo Alto Networks가 Contagious Interview로 추적한 소셜 엔지니어링 캠페인과 연결되어 있다고 밝혔습니다. Contagious Interview는 북한 행위자에 의해 수행되었습니다. Socket 연구원들에 따르면, 이 그룹은 새로운 맬웨어 로더인 XORIndex로 운영을 확장했습니다. 이 로더는 수천 번의 다운로드를 기록했으며, 대상은 구직자와 디지털 자산이나 민감한 자격 증명을 보유한 것으로 추정되는 개인들이었습니다.
이 캠페인에서 북한 해커는 JADESNOW 맬웨어를 사용하여 INVISIBLEFERRET의 JavaScript 변형을 유포했으며, 이는 수많은 암호화폐 절도 사건에 사용되었습니다. 이 캠페인은 암호화폐 및 기술 산업의 개발자를 대상으로 민감한 데이터, 디지털 자산을 훔치고 기업 네트워크에 접근합니다. 또한 가짜 채용 담당자와 가짜 회사를 사용하여 정당한 채용 과정을 모방하는 소셜 엔지니어링 전술을 중심으로 진행됩니다.
가짜 채용 담당자들이 Telegram이나 Discord와 같은 플랫폼으로 지원자를 유인합니다. 그런 다음 맬웨어는 가짜 코딩 테스트나 기술 평가 또는 인터뷰 수정으로 위장된 소프트웨어 다운로드를 통해 시스템과 기기에 전달됩니다. 이 캠페인은 JADESNOW, INVISIBLEFERRET, BEAVERTAIL과 같은 맬웨어를 포함하는 다단계 맬웨어 감염 프로세스를 사용하며, 피해자의 기기를 침해합니다. 이 맬웨어는 Windows, Linux 및 macOS 시스템에 영향을 미칩니다.
연구원들이 EtherHiding의 단점을 상세히 설명
EtherHiding은 공격자에게 더 큰 이점을 제공하며, GTIG는 이를 완화하기가 특히 어려운 위협으로 지적했습니다. EtherHiding의 우려되는 핵심 요소 중 하나는 그 본질이 분산되어 있다는 점입니다. 이는 권한이 필요 없는 분산형 블록체인에 저장되어 있어 중앙 서버가 없기 때문에 법 집행 기관이나 사이버 보안 기업이 이를 제거하기 어렵게 만듭니다. 또한 블록체인 거래의 익명성 때문에 공격자의 신원을 추적하는 것도 어렵습니다.
소유자가 아닌 경우 블록체인에 배포된 스마트 계약의 악성 코드를 제거하는 것도 어렵습니다. 이 경우 스마트 계약을 통제하는 공격자, 즉 북한 해커는 언제든지 악성 페이로드를 업데이트할 수 있습니다. 보안 연구원이 태그를 지정하여 커뮤니티에 악성 계약에 대해 경고하려고 시도할 수 있지만, 이는 해커들이 스마트 계약을 사용하여 악의적인 활동을 수행하는 것을 막지 못합니다.
또한 공격자는 블록체인에 가시적인 거래 내역을 남기지 않는 읽기 전용 호출을 사용하여 악성 페이로드를 검색할 수 있어, 연구원들이 블록체인에서 그들의 활동을 추적하기 어렵게 만듭니다. 위협 연구 보고서에 따르면 EtherHiding은 “차세대 방탄 호스팅으로의 전환”을 나타내며, 사기꾼들이 블록체인 기술의 가장 눈에 띄는 특징들을 악의적인 목적으로 사용하고 있습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
오와투운세 아데바요
아데바요(Adebayo)는 암호화폐 분야에서 4년간의 경력을 가진 작가입니다. 그는 라고스 대학교에서 도시 및 지역 계획을 전공하고 졸업했으며, 토큰헬(Tokenhell)과 크립토티커(CryptoTicker)에서 암호화폐 및 핀테크 뉴스를 작성했습니다. 현재 그는 크립토폴리탄(Cryptopolitan)의 뉴스 기여자입니다.
