이미지에서 문자 추출하는 도구 활용해 암호화폐 관련 정보 탈취
ViperSoftX 악성코드 공격자, 테서렉트스틸러·콰사르 RAT 감염시켜 정보 탈취
의심스러운 웹 사이트·자료 공유 사이트에서 실행 파일 설치 말아야

[보안뉴스 박은주 기자] 이미지로 저장한 암호화폐 관련 정보를 탈취하는 악성코드가 발견됐다. 이미지에서 텍스트를 추출하는 ‘테서렉트(Tesseract)’라는 도구를 활용해 시스템에 저장된 이미지에서 문자열을 추출하는 방식이다.


▲테서렉트스틸러를 통해 이미지 파일에서 문자열을 검사하는 루틴[자료=ASEC]

테서렉트는 딥러닝 기반 오픈소스 OCR(Optical Character Recognition, 광학 문자 인식) 엔진이다. 시스템에 저장된 이미지를 읽어 문자열을 추출하고, 비밀번호나 암호화폐 지갑 주소와 관련된 내용이 확인될 경우 자료를 탈취한다.

안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 이러한 위협은 ViperSoftX(바이퍼소프트엑스)를 활용하는 공격자 소행으로 밝혀졌다. ViperSoftX는 감염 시스템을 제어하고 암호화폐 관련 사용자 정보를 탈취하는 악성코드다. 감염된 시스템에 ‘TesseractStealer(테서렉트스틸러)’ ‘Quasar(콰사르) RAT’ 악성코드를 추가 설치하는 방식으로 공격을 감행한다. 이때 테서렉트스틸러가 테서렉트를 활용해 이미지에서 정보를 탈취하는 것.

시스템 내 △.png △.jpg △.jpeg 파일을 확인하고, 테서렉트 라이브러리 활용해 문자열을 추출한다. 추출 내용에 OTP나 복구에 필요한 비밀번호, 암호화폐 지갑 주소 문자열이 포함돼 있는지 검사하고, 해당 내용을 C&C 서버로 전송하는 방식이다. ASEC는 “스크린샷 캡처를 이용해 암호화폐 지갑 주소나 비밀번호 같은 정보를 저장하는 경우, 이미지 파일을 탈취하기 위한 목적으로 보인다”고 설명했다.


▲ViperSoftX의 메인 루틴[자료=ASEC]
ViperSoftX는 2020년 처음 발견된 이후 꾸준히 악성 기능이 추가되며 정보 탈취 및 악성코드를 유포하는 악성코드로 사용되고 있다. 공격자는 ViperSoftX 업데이트를 위해 ‘win32.exe’라는 드로퍼를 설치하는데, 내부에 테서렉트스틸러와 콰사르 RAT 등 악성코드를 포함하고 있다. 이후 ViperSoftX 스크립트를 생성하고, 작업 스케줄러로 등록해 외부에서 명령을 받아 확장 악성코드를 설치하고, 지속해서 실행 및 업데이트하는 방식으로 공격을 진행하고 있다.


▲콰사르 RAT가 제공하는 기능[자료=ASEC]

콰사르 RAT는 사용자 환경 정보를 탈취하고, 원격 데스크톱을 통해 실시간으로 감염 시스템을 제어할 수 있는 악성코드다. 닷넷으로 개발된 오픈소스 RAT로 △프로세스 및 파일 △레지스트리와 같은 시스템 작업 △원격 명령 실행 △파일 업로드 및 다운로드 △키로깅 △계정 정보 수집 등 악성 행위를 지원한다. 공격자는 감염된 다수를 대상으로 악성코드를 유포하고 있다.

ViperSoftX는 주로 정상프로그램 크랙이나 키젠을 위장해 유포되고 있으며, 테서렉트스틸러와 콰사르 RAT 유포도 확인되고 있어 각별한 주의가 필요하다. 따라서 사용자는 의심스러운 웹사이트나 자료 공유 사이트에서 실행 파일을 설치하지 말아야 한다. 유틸리티 및 게임 등의 프로그램은 반드시 공식 홈페이지에서 내려받는 것이 안전하다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>