암호화폐 지갑 노리는 ‘오코봇’ 주의보… “개발자 노린다”

[산업일보]
정상적인 개발 도구로 위장해 암호화폐 지갑의 시드 문구를 탈취하는 신종 악성 프레임워크가 발견됐다. 정보기술(IT) 업계 종사자와 소프트웨어 개발자를 정밀 타깃으로 삼고 있어 관련 산업계의 각별한 주의가 요구된다.

글로벌 사이버보안 기업 카스퍼스키는 지난 1월부터 이 같은 악성 프레임워크인 ‘오코봇(OkoBot)’을 이용한 다수의 공격을 포착했다고 27일 밝혔다.

카스퍼스키 글로벌 연구분석팀(GReAT)에 따르면 이 악성 프레임워크는 암호화폐 지갑의 복구용 시드 문구를 메모리에서 찾아 탈취하는 악성 도구인 ‘TookPS’와 크로미움 기반 웹브라우저를 모니터링하는 ‘오코스파이웨어(OkoSpyware)’ 모듈 등을 포함하고 있다.

특히 오코봇은 악성 기능을 직접 수행하는 실행 코드인 ‘페이로드(Payload)’와 감염된 시스템에 설치돼 지속적으로 공격자의 명령을 수행하는 악성 모듈인 ‘임플란트(Implant)’ 등 20개 이상의 요소로 구성됐다. 이를 통해 로컬 파일 수집, 원격 명령 실행, 계정 자격 증명 탈취, 영상 녹화 등 다양한 악성 기능을 수행한다.

이 중 새로운 임플란트는 브라우저 메모리를 변조해 악성 확장 프로그램을 은밀하게 로드하는 역할을 수행하며, 실시간으로 키 입력과 애플리케이션 창 화면을 수집하는 등 고도화된 수법을 보인 것으로 조사됐다.

주요 공격 대상은 트레저(Trezor)와 레저(Ledger) 등 하드웨어 지갑 사용자다. 시스템 프로세스를 모니터링하다가 하드웨어 지갑 연결이 감지되면, 각 지갑 유형에 맞춰 정교하게 꾸며진 피싱 화면을 띄워 사용자가 직접 시드 문구를 입력하도록 유도하는 방식이다.

주요 감염 경로는 사회공학 기법인 클릭픽스(ClickFix) 공격과 깃허브(GitHub) 내 정상 소프트웨어 위장 배포다. 특히 공격자들은 개발자들이 범용적으로 사용하는 마이크로소프트의 데이터베이스 관리 도구인 ‘SSMS(SQL Server Management Studio)’의 가짜 설치 프로그램을 유포 경로로 악용했다. 카스퍼스키는 이러한 유포 방식을 근거로 소프트웨어 개발자가 주요 공격 타깃 중 하나라고 분석했다.

공격 주체는 명확히 밝혀지지 않았으나, 기술 분석 과정에서 러시아어 코드 흔적이 발견됐다. 카스퍼스키 측은 사용된 기법과 정보 탈취형 악성코드가 러시아어권 위협 행위자들이 널리 사용하는 방식이라고 설명했다. 현재 피해 규모가 가장 큰 국가는 브라질, 베트남, 캐나다, 멕시코, 튀르키예 등이다.

이효은 카스퍼스키 한국지사장은 “한국은 암호화폐 투자자와 소프트웨어 개발자가 많아 오코봇의 주요 표적이 될 가능성이 높다”며 “사용자는 서드파티 프로그램 설치 시 보안 기능을 비활성화하는 습관을 지양하고, 통합 보안 솔루션과 전용 비밀번호 관리 솔루션을 함께 활용해 스파이웨어 공격으로부터 자산을 보호해야 한다”고 강조했다.