확장 앱 마켓플레이스 사후 관리 부실 악용

[보안뉴스 김형근 기자] ‘셰이디판다’(ShadyPanda)라는 이름의 위협 행위자가 지난 7년 동안 430만 건 이상 설치된 크롬과 엣지 브라우저 확장 프로그램 공격 캠페인과 연루된 것이 밝혀졌다.

보안업체 코이시큐리티에 따르면, 이 중 5개의 확장 프로그램은 2024년 중반까지 합법적 프로그램으로 운영되다가 악성 코드가 주입됐으며, 이는 30만 건의 설치를 유도했다. 이들 확장 프로그램은 현재는 모두 제거된 상태다.


[자료: gettyimagesbank]

연구원들은 이 확장 프로그램들이 매시간 원격 코드 실행을 통해 임의의 자바스크립트를 다운로드하고 실행하며 전체 브라우저 접근 권한을 가졌다고 밝혔다.

이 프로그램들은 모든 웹사이트 방문을 모니터링하고 암호화된 브라우징 기록과 완벽한 브라우저 지문을 수집해 외부로 유출했다.

구글이 추천하고 검증까지 받아 의심 피해
특히 클린 마스터라는 확장 프로그램은 한때 구글이 추천하고 검증까지 받은 프로그램이다. 이로 인해 공격자들은 수년 후 악성 업데이트를 배포하면서도 의심을 피할 수 있었다.


[자료: 코이 시큐리티]

같은 게시자가 만든 또 다른 5개 애드온은 약 400만 건 설치됐으며, 그 가운데 위탭 하나만 300만 건의 설치를 기록했다.

악성 활동의 초기 징후는 2023년 발견됐다. 이들은 생산성 앱 등으로 위장해 이베이, 부킹닷컴, 아마존 방문 시 추적 코드를 은밀하게 삽입해 제휴 사기를 통해 불법적인 수수료를 챙겼다.

2024년 초, 이들 공격은 ‘trovi.com’이라는 브라우저 하이재커를 통한 검색어 리디렉션으로 전환되어 수익화됐다.

2024년 중반엔 5개 확장 프로그램에 백도어 기능을 도입하는 악성 업데이트가 배포됐다. 이 코드는 ‘api.extensionplay[.]com’ 도메인에 매시간 접속해 자바스크립트 페이로드를 가져와 실행했다.

페이로드는 모든 웹사이트 방문을 모니터링하고 데이터를 암호화해 셰이디판다 서버(‘api.cleanmasters[.]store’)로 전송했다.

이들은 기능 숨김을 위한 광범위한 난독화를 사용했으며 개발자 도구가 감지되면 양성 행동으로 전환하는 기능도 갖추었다.

이 캠페인은 4단계에 걸쳐 합법적 도구에서 데이터 수집 스파이웨어로 점진적으로 변모했다.

코이시큐리티 보안 전문가들은 “사용자를 안전하게 유지하기 위해 설계된 자동 업데이트 메커니즘이 공격 벡터가 되었다”면서 “마켓플레이스가 제출 시점에만 확장 프로그램을 검토하고 승인 후 변경 사항을 감시하지 않는 취약점을 체계적으로 악용한 성공 사례”라고 지적했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>