라쿤스틸러라는 인기 높은 정보 탈취형 멀웨어가 다시 살아났다. 이번에는 버전 2다. 공격자들이 새롭게 개발을 한 것이다. 이전에 비해 현대화 된 기능들이 추가됐고, 기존 명성이 있어서인지 활발히 거래되는 중이라고 한다.

[보안뉴스 문가용 기자] 악명 높은 멀웨어인 라쿤스틸러(Racoon Stealer)의 개발자들이 새로운 멀웨어를 발표했다. 라쿤스틸러의 운영을 중단한 후 3개월 만의 일이다. 참고로 라쿤스틸러 운영 단체의 수석 개발자는 우크라이나에서 사망한 것으로 전해지고 있다. 이 때문에 운영이 중단된 것이라고 한다.


[이미지 = utoimage]

프랑스의 보안 업체 세코이아(Sekoia)에 의하면 이전부터 라쿤스틸러 파일들을 호스팅했던 서버들이 다시 활성화 된 것을 최근 발견할 수 있었다고 한다. 이에 세코이아는 해당 상황을 좀 더 면밀히 조사했고, 라쿤스틸러의 기존 판매자 혹은 운영자들이 5월 17일부터 텔레그램에서 채널을 마련하여 새 멀웨어를 판매하기 시작했다는 것을 알아낼 수 있었다.

“라쿤스틸러의 운영자들이 완전히 백지에서부터 멀웨어는 물론 관리자 패널까지 새롭게 작성한 것을 알 수 있었습니다. 라쿤스틸러보다 빠르고 효율이 높은 멀웨어를 개발하는 게 이들의 목적이었던 것으로 보입니다. 라쿤스틸러는 유명하고 인기도 높지만 확실히 ‘고전적인’ 정보 탈취형 멀웨어이긴 하거든요. 여기에 더해 새 멀웨어는 라쿤스틸러에 없던 암호화폐 관련 기능도 있습니다. 새 멀웨어는 비밀번호와 쿠키, 신용카드 정보를 훔치고, 거의 모든 브라우저에 저장된 자동 채우기 정보도 가져갈 수 있습니다. 다양한 암호화폐 지갑 클라이언트에서도 정보를 훔칠 수 있고요. 확실히 현대화 되어 있죠.”

백지에서부터 새롭게 창조된 멀웨어이긴 하지만 라쿤스틸러의 흔적을 고루 찾아낼 수 있기에 세코이아의 분석가들은 이 새 멀웨어를 ‘라쿤스틸러 2’라고 부른다. “재미있는 건 현대 멀웨어와 달리 방어와 분석을 피해가는 기능을 아예 하나도 가지고 있지 않습니다. 난독화라든가 추적 회피 기능, 분석 방해 기능 등이 없다는 것이죠. 하지만 최근에 개발된 만큼 개발자들이 이런 기능을 곧 추가할 가능성이 꽤 높다고 봅니다.”

지난 3월 25일 라쿤스틸러 운영자들이 운영 중단을 선포했을 때 보안 전문가들 대다수는 이를 믿지 않았다. 잠시 활동이 중단된다 하더라도 곧 다시 살아날 것이라는 예측이 지배적이었다. 2019년에 처음 등장한 라쿤스틸러는 공격자들 사이에서 가장 인기가 높은 정보 탈취형 멀웨어 중 하나였고, 성능과 효율 면에서 탁월했기 때문에 공격자들이 쉽게 포기할 이유가 없었다. 라쿤스틸러는 일부 범죄자들에게 대여 형태로 제공되었으며, 대여한 자들과 수익을 분배하는 식의 수익 구조를 가지고 있었다.

현재까지 라쿤스틸러 1은 다양한 방법으로 유포됐다. 웹사이트에 호스팅 되어 있기도 했고, 해적판 소프트웨어에 감춰져 있기도 했다. 각종 해킹 단체가 사용하는 드로퍼들을 통해 퍼지던 사례도 있었다. 텔레그램도 유포의 플랫폼으로써 활용된 적이 있었고 악명 높은 익스플로잇 키트에서 발견되기도 했었다. 그러면서 여러 차례 보안 관련 외신의 헤드라인을 장식한 바 있다.

세코이아의 발표가 있기 전인 지난 주 보안 업체 비트디펜더(Bitdefender)는 라쿤스틸러가 부활할 것이라는 걸 예고했었다. “사이버 범죄자들이 요구해왔던 기능들이 새 버전에 반영되고 있으며, 규모가 더 큰 로드들을 처리하기 위한 백본 서버들을 크게 늘린 것이 포착되었기 때문”이라고 당시 비트디펜더는 설명했었다. 라쿤스틸러가 부활했다고 선포만 하지 않았지 거의 이번 주 세코이아의 발표와 동일하다고 볼 수 있는 내용이다.

3줄 요약
1. 악명 높은 정보 탈취형 멀웨어 라쿤스틸러, 3개월 전에 활동 중단 선언.
2. 하지만 최근 공격 서버들이 활성화 되어 있었음.
3. 살펴 보니 새로운 멀웨어(라쿤스틸러 2)가 개발돼서 이미 거래되는 중.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>