북한의 공격자들이 ATM과 PoS로부터 돈을 빼돌리기 위해 사용하는 멀웨어의 새로운 버전이 발견됐다. 이번 버전은 리눅스에서 사용되는 것으로, 기존 윈도 생태계에서 하던 공격을 확대시키기 위한 것으로 보인다. 하지만 아직 많은 것들이 수수께끼로 남아 있다.

[보안뉴스 문정후 기자] 새로운 멀웨어가 발견됐다. 이전에 패스트캐시(FASTCash)라고 알려진 것의 변종으로, 배후에는 북한 해커들이 있는 것으로 추정된다. ATM 기기들에서 현금을 불법적으로 인출하는 멀웨어인데, 이번 변종의 경우 지난 버전과 다르게 주로 리눅스 운영 체제를 대상으로 하고 있는 것으로 분석됐다.


[이미지 = gettyimagesbank]

패스트캐시라는 멀웨어의 시리즈가 처음 세상에 모습을 드러낸 건 2018년의 일이다. 유닉스 버전과 윈도 버전으로 나뉘어 있었고, 리눅스 버전이나 맥OS 버전은 존재하지 않았었다. 그러다가 이번에 리눅스 버전이 나타난 것이다. 이전 버전들은 주로 윈도 서버의 결제 스위치를 공격했었으나 점차 결제 과정까지도 공격하는 방식으로 확장됐다. 다만 윈도 버전의 샘플이 바이러스토탈에 업로드 된 건 2019년 9월이고, 미국의 사이버 보안 전담 기관인 CISA가 대대적으로 언급한 게 2020년이다. 다라서 패스트캐시가 세상에 확실히 알려진 건 2020년이라고 해도 과언이 아니다.

리눅스 버전이 새롭게 나왔다고 해서 이전 윈도 버전들에 대한 업그레이드가 없어진 건 아니다. 보안 업체 핵스로브(Haxrob)에 의하면 “윈도 버전의 경우도 새로운 샘플이 발견되고 있다”고 한다. “이번 리눅스 및 윈도 변종들은 튀르키예의 리라 화를 사용하여 거래를 처리하고 있습니다. 기존 패스트캐시는 인도의 루피 화를 활용했는데 말이죠. 또, 새 윈도 버전의 경우 프로세스 주입 기법을 탑재하고 있어 탐지가 어느 정도 되는 편인데 리눅스 변종은 아직도 탐지가 잘 되지 않습니다.”

윈도 샘플과 리눅스 샘플을 CISA가 분석 비교했을 때 두 변종은 동일하거나 매우 유사한 결제 구조(혹은 기술)를 대상으로 하고 있는 것으로 보인다고 한다. “리눅스 변종은 우분투 20.04에 맞춰 컴파일링 됐으며 2022년 4월 21일 이후에 개발된 것으로 보입니다. VM웨어 하이퍼바이저를 이용한 가상기계에서 개발됐을 가능성이 높습니다. 윈도 변종보다 기능이 다소 제한적입니다만, 핵심 기능들은 다 가지고 있습니다.”

먼저 알아야 할 것들
패스트캐시에 대해 이해하려면 다음 몇 가지를 기본적으로 알고 있어야 한다고 핵스로브는 강조한다.
1) 인수자 / 인수자 은행(merchant acquirer / acquiring bank) : 상점이나 카드 소유자가 결제를 받을 수 있도록 지원하는 은행을 말한다. 이른 은행은 ATM이나 PoS 단말기, 결제 스위치 소프트웨어, 지불 관련 네트워크를 소유하고 있다.
2) 발행자(issuer) : 신용카드 또는 직불카드를 발급하는 은행이나 기관을 말한다. 인수자가 거래 승인이나 거래 메시지를 보내면 여기에 응답하는 주체이다. 인수자와 겹칠 때도 있다.
3) 카드사 및 카드사 네트워크, 카드 생태계 : 비자나 마스터카드와 같은 대표적인 카드 생태계를 의미한다. 인수자와 발행자 사이에서 중개자 역할을 담당한다. 가끔은 발행자 역할을 할 때도 있다. 카드를 발행하는 은행의 경우, 이른 카드 생태계의 회원이 된다.

카드 거래 과정은 다음과 같다고 핵스로브는 설명한다. “소비자가 신용카드를 활용해 물건을 구매합니다. 그러면 단말기를 통해 카드를 긁죠. 그럴 때 단말기는 카드 정보를 읽고, 이를 인수자에게 전달합니다. 소비자의 은행과 인수자 은행이 서로 다를 경우, 카드 정보와 거래 요청 메시지는 카드 생태계(혹은 카드 네트워크)를 통해 인수자 은행으로 전달됩니다. 정보를 받은 인수자 은행은 잔액 확인 등의 과정을 거쳐 거래를 승인하든가 거절합니다. 그 메시지를 다시 카드 네트워크를 거쳐 소비자가 사용하고 있는 단말기로 전달합니다.”

중요한 개념이 하나 더 있는데, 바로 ‘결제 스위치’다. “카드 거래 메시지를 중계하는 시스템으로 여러 단말기를 은행의 호스트 시스템(실제 금융 거래를 수행하는 금융 기관의 핵심 시스템)에 연결하거나 은행 네트워크들 사이에서 발생하는 거래를 중계하는 역할을 합니다. 패스트캐시 멀웨어는 이런 결제 스위치를 감염시켜 호스트 간 혹은 은행 네트워크 간 거래 메시지를 멋대로 바꿉니다. 그렇기 때문에 결제가 카드 네트워크에 연결된 은행들과 상관 없이 승인되는 겁니다.”

이 공격을 위해 공격자들이 접근하는 장비는 ATM과 PoS 단말기다. ATM은 다이얼업이나 ASDL, 혹은 전용 회선을 통해 네트워크에 연결되는 것이 보통이다. 최신 ATM은 TCP/IP를 지원하지만 그렇지 않은 ATM 장비들도 세계 곳곳에서 여전히 많이 사용되고 있다. 이런 경우 오래된 IBM BSC나 Bisync 프로토콜이 사용되고 있기도 한데 장비 제조사에 따라 다양한 독자적 프로토콜을 채용하기도 한다. 글로벌 표준은 CEN/XFS라는 프로토콜이다. PoS는 일반적인 통신 네트워크나 PSTN 페어링 연결 기술이 활용하는 경우가 보통이다. 다만 초기 PoS 모델들은 다소 다를 수 있다.

북한의 해킹 조직과 패스트캐시
패스트캐시의 여러 변종들과 관련이 있는 해킹 조직은 북한의 라자루스(Lazarus)와, 그 라자루스의 하위 조직들이다. 전부 돈을 목적으로 공격 행위를 일삼는 자들이다. “이들은 패스트캐시를 통해 카드 네트워크 상에 있는 특정 지점의 거래 메시지를 변조하여 상위 또는 하위 시스템이 거래 요청을 거부하지 않도록 합니다. 특히 ATM이나 PoS 단말에서 발송되는 메시지를 공략하는데, 이러한 메시지들이 변환되는 지점에서 이런 공격 시도가 많이 일어날 것으로 추정되고 있습니다.”

공격자들은 먼저 구글 검색을 통해 오래된 ATM 스위치 소프트웨어 제조사들을 찾아낸 후 그런 회사들에서 각종 자료들을 획득한다. 광고 문서나 상업용 프레젠테이션 파일 등 공개된 정보들을 찾아내는 게 보통이므로 이 단계에서 해킹 공격이 실행되지는 않는다. “이후 공격에 필요한 기술 정보들은 이런 상업 문서를 통해서도 쉽게 얻어낼 수 있습니다. 예를 들어 어떤 소프트웨어 개발사는 윈도와 레드햇 리눅스를 호환한다고 광고하고 있기도 합니다.”

그런 후 자신들의 목적에 맞는 공격 도구를 활용하는데, 보통 윈도용 패스트캐시나 리눅스용 패스트캐시일 때가 많다. CISA에 의하면 이 두 가지 도구들에는 공통점이 있는데, 다음과 같다.
1) 승인 요청에 대한 응답 메시지에 무작위 금액을 덧붙인다. 이 금액은 튀르키예의 리라 화로 되어 있다.
2) 금액은 1만 2천 리라에서 3만 리라로 고정되어 있다.
3) 특정 네트워크에 지정된 결제 처리 시스템과 관련된 것으로 추정되는 값이 존재한다. 특정 벤더를 노리거나 특정 지역의 고객들을 노리는 것일 수 있다.
4) 응답 메시지를 변조할 때 14개의 특정 데이터 요소를 제거한다. 그 이유에 대해서는 아직 알려진 바가 없다.
5) 거래 유형을 확인한 후 자기 띠 긁기를 통해 이뤄졌는지도 확인한다.
6) 2 바이트의 메시지와 5 바이트의 TPDU로 구성된 패킷 형태로 유포된다. 보다 상세한 정보는 아직 밝혀지지 않았다.

하지만 차이가 있기도 하다.
1) 일부 메시지(ISO8583)의 경우 응답 메시지 검증에서 약간의 차이를 보인다.
2) 리눅스용 변종은 주로 C++로 작성되었다. 그럼에도 전역 변수와 클래스 이름은 유지된다.
3) 일부 샘플들에서는 UPX 4.02로 압축된 부분들이 발견되기도 했다. 하지만 모든 샘플의 모든 부분들이 성공적으로 압축된 것은 아니었다.
이런 것들이 의미하는 바는 아직 전부 분석되지 않고 있다.

패스트캐시는 기본적으로 “공유 라이브러리로 구현되어 있고, ptrace를 활용하여 기존 실행 프로세스에 주입되는 방식”으로 작동한다고 핵스로브는 설명한다. “공유 라이브러리가 로드될 때 초기 접근 포인트인 SoMain이 호출되는데, 이 SoMain은 FcCfg 클래스의 생성자를 호출하여 구성 파일을 복호화 합니다. 복호화에 성공하면 패킷 분석을 실시합니다. 이 패킷에는 암호화 된 개인 계좌 번호 목록이 포함되어 있습니다.”

이렇게 해서 획득한 개인 계좌 번호 목록은, 환경파일 내에 있는 또 다른 목록과 대조된다. 그래서 일치하는 항목이 발견되면 다음 필드가 채워져 있는지 확인 과정을 거친다.
1) 처리 코드(DE3) : 이 필드값을 통해 잔액이 부족한지 아닌지를 확인한다. 잔액이 부족하면 승인 코드 필드는 공백으로, 액션 코드 필드는 승인으로 설정된다.
2) 거래 금액(DE4) : 위에 언급한 것처럼 특정 리라 화 금액으로 설정된다. 여기에 0387T라는 문자열이 추가되는데, 이것의 의미는 아직 불명이다.
3) 시스템 추적 감사 번호(DE11)
4) 통화(DE49)

현재까지 알아낸 것
핵스로브의 보고서에 의하면 이번에 발견된 멀웨어에 대해 알아낸 것은 그리 많지 않다.
1) 패스트캐시 멀웨어의 리눅스용 새 버전이 발견됐다.
2) 이를 통해 이전과 마찬가지로 북한의 해커들은 ATM과 PoS에서 돈을 가로챈다.
3) 가로채는 돈은 1만 3천~3만 리라 정도다.
4) 주로 신용카드/직불카드 거래 요청 및 승인 절차 사이에 개입해 거절을 승인으로 바꾸고, 금액을 멋대로 설정하는 방식으로 공격을 진행한다.

알려지지 않은 것도 상당히 많다.
1) 왜 리라 화로 돈을 거두어 가는가?
2) 왜 하필 1만 3천 리라에서 3만 리라 사이인가?
3) 아직 정체를 알 수 없는 문자열이나 값들이 존재하는데 어떤 의미인가?
4) 특정 데이터 요소 14개를 제거하는 이유는 무엇인가?

“리눅스 변종이 발견됐다는 건, 결국 북한의 공격자들이 리눅스 환경도 노린다는 것을 보여줍니다. 북한 해커들은 맥OS 환경에서 작동하는 멀웨어도 최근 계속해서 내놓고 있지요. 그만큼 모든 환경에 대한 방어력을 갖추고 있어야 북한 해커들을 억제할 수 있습니다. 이번 캠페인을 효과적으로 방어하려면 먼저 카드를 사용할 때 PIN을 입력하도록 설정하고, 발급자가 인증 메시지를 보낼 때 그 메시지가 발급자로부터 온다는 걸 검증하는 단계를 확보하며, 승인과 관련된 요청과 응답을 암호로 보호해야 합니다. 즉 카드 생태계의 여러 참여자들이 다같이 방법을 고안해야 한다는 뜻이 됩니다. 카드 회사 하나, 혹은 카드 사용자 개인이 막기 힘듭니다.”

3줄 요약
1. 북한의 해커들, 패스트캐시라는 멀웨어 변종 출시.
2. 이 멀웨어로 ATM과 PoS 공략해 건당 13000~30000 리라 가져감.
3. 아직 공격의 세부 사안들은 다 알려지지 않고 있음.
[국제부 문정후 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>