2025년 다크웹 정보 탈취 로그 500만개 분석 결과 담은 보고서 공개
프로세스 인젝션·LOL 기법 악용한 고도화 감염 사례도 전체 32% 달해

[보안뉴스 조재호 기자] 카스퍼스키가 지난해 다크웹에서 발견된 악성코드 로그를 분석한 결과, 전체 감염의 35%가 사용자의 브라우저 임시 폴더 파일 실행에서 비롯되었다고 발표했다. 공격자는 고도화된 해킹 기술보다 불법 소프트웨어 실행을 유도하는 사회공학적 기법을 주로 악용한 것으로 나타났다.


[출처: 카스퍼스키]

카스퍼스키는 자사의 디지털 풋프린트 인텔리전스(DFI)의 연구 결과를 담은 ‘인포스틸러 분석 보고서’를 발표했다. 이번 보고서는 지난해 다크웹에서 발견된 500만개의 정보 탈취형 악성코드 로그 파일을 분석한 것으로, 전체 감염 사례의 35% 이상이 브라우저 임시 폴더에 저장된 파일을 사용자가 직접 실행하면서 시작된 것으로 나타났다.

분석 결과 가장 많은 감염을 불러온 시작점은 윈도우의 임시 폴더다. 사용자가 인터넷에서 다운로드한 파일이 별도로 저장되기 전 임시로 보관되는 공간이다. 반면 정상 프로그램에 악성코드를 삽입하는 ‘프로세스 인젝션(Process Injection)’이나 운영체제의 정상 시스템 도구를 악용한 ‘LOL(Living-off-the-Land)’ 기법은 전체 감염의 32%를 차지했다. 이러한 고도화된 감염 기법은 Lumma와 같은 특정 악성코드 계열에서 MS 닷넷 프레임워크 경로를 통해 실행된 것으로 확인됐다.

이러한 악성코드는 신뢰할 수 없는 웹사이트를 통해 퍼지는데, 특정 소프트웨어 다운로드나 정품 인증을 우회하기 위한 불법 도구 사용과 밀접하게 연관되어 있었다. 상당수 피해자는 공격자의 안내에 따라 악성 파일을 실행하기 전 백신 같은 보안 프로그램을 스스로 비활성화했다.

악성코드 종류에 따라 각기 다른 특징도 발견됐다. Vidar는 부트스트래퍼 형태의 파일명과 기존 로더를 활용했고, Stealc는 의미 있는 파일명과 무작위 파일명을 혼용하는 전략을 활용했다.

카스퍼스키는 악성코드 감염을 최소화하기 위해 다크웹에 위협을 탐지하는 ‘카스퍼스키 DFI’와 사고 대응 과정의 위협 정보를 제공하는 ‘카스퍼스키 위협 인텔리전스’ 플랫폼 도입을 권했다.

이효은 카스퍼스키코리아 지사장은 “한국은 세계 최고 수준의 디지털 환경을 갖췄지만 다양한 온라인 서비스에서 발생한 유출 정보를 악용한 표적 피싱 공격이 지속되고 있으며, 이를 통한 자격증명 탈취형 악성코드도 빠르게 확산되고 있다”며 “이제 기업과 공공기관은 엔드포인트 보안 만으로 충분하지 않으며, 웹 전반에 걸친 위협 모니터링과 함께 임직원 보안 교육을 강화해 자격증명 탈취를 사전에 차단하려는 노력이 필요하다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>