XMRig 악성코드, 컴퓨터가 재부팅할 때마다 config.json 파일 읽으며 마이닝 수행

[보안뉴스 기획취재팀] 국내 사용자를 타깃으로 웹하드를 통해 모네로 코인 마이너 악성코드를 유포하는 정황이 포착됐다. 웹하드 이용시 이용자들의 각별한 주의가 필요하다.


▲악성코드가 포함돼 유포중인 게임[이미지=안랩]

공격자는 일반적으로 웹하드를 이용해 성인 게임이나 게임의 크랙과 같은 불법 프로그램과 함께 악성코드를 유포한다. 이렇게 웹하드를 유포 경로로 사용하는 공격자들은 주로 njRAT이나 UdpRAT, DDoS IRC Bot과 같은 RAT 유형의 악성코드를 설치한다.

1일 ASEC 분석팀에 따르면 “최근 웹하드를 통해 XMRig 모네로 코인 마이너를 유포하는 사례가 확인되고 있다”며, “악성코드가 유포된 경로를 확인한 결과 특정 웹하드에서 게임 설치 파일로 위장해 업로드된 압축 파일을 확인했다”고 밝혔다. 실제 해당 게시글의 댓글을 보면 사용 중인 백신 프로그램(AntiVirus)에 의해 설치 과정에서 진단이 이루어짐에 따라 이미 내부에 악성코드가 포함되어 있다는 사실을 인지한 사용자들도 다수 존재한다. 이러한 게임 설치 프로그램들의 특성상 토렌트나 특정 웹하드에서 최초로 업로드되면 이후에는 다른 웹하드에서 동일하게 따라서 업로드할 수 있다.


▲압축 파일 구조[이미지=안랩]

다운로드한 압축 파일의 압축을 풀면 게임 아이콘을 위장한 ‘raksasi.exe’ 프로그램이 실행된다. 하지만 해당 파일은 XMRig 코인 마이너를 설치하는 악성코드이며 실제 게임 프로그램은 raksasi_Data 폴더 안의 Resources 폴더에 존재한다.


▲모네로 마이너 설치 악성코드[이미지=안랩]

이 악성코드는 매우 간단한 구조로 ‘c:\Xcrcure\’ 경로에 모네로 채굴 악성코드(xmrig.exe), XMRig 설정 파일(config.json), XMRig 런쳐 악성코드(MsDtsServer.exe)를 다운로드한다. 그리고 시작 폴더에 XMRig 런쳐 악성코드를 실행하는 바로가기를 ‘NewStartUp.lnk’라는 이름을 생성해 재부팅한 후 모네로 채굴 마이너가 동작하도록 한다. 마지막으로 Resource 폴더에 존재하는 원본 게임 프로그램을 실행해 사용자가 정상적으로 게임이 동작하는 것처럼 보이도록 한다.


▲XMRig 설정 파일[이미지=안랩]

이러한 과정을 통해 설치되는 악성코드는 컴퓨터가 재부팅할 때마다 동일 경로에 존재하는 config.json 파일을 읽으며 마이닝을 수행한다. 이에 대해 안랩은 “국내 웹하드 등 자료 공유 사이트를 통해 악성코드가 활발하게 유포되고 있어 사용자의 주의가 필요하다”며, “자료 공유 사이트에서 다운한 실행 파일은 각별히 주의해야 하며, 유틸리티 및 게임 등의 프로그램은 반드시 공식 홈페이지에서 다운로드하는 것”을 권장했다.
[기획취재팀(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>