정보 탈취·키 입력 기록·클리퍼·스파이웨어까지
MaaS로 유튜브나 텔레그램을 통해 유포

[보안뉴스 강현주 기자] 정보 탈취·키 입력 기록·클리퍼·스파이웨어까지 갖춘 악성코드 ‘크리스탈엑스 RAT’(CrystalX RAT)가 서비스형 악성코드(MaaS) 형태로 제3자에게 유통되고 있는 것으로 나타났다.

카스퍼스키(한국지사장 이효은)는 카스퍼스키 글로벌 연구분석팀(GReAT)가 지금까지 공개되지 않았던 새로운 원격제어 악성코드(RAT: Remote Access Trojan) ‘크리스탈엑스 RAT’ 를 발견했다고 20일 밝혔다.


▲공격자-피해자 채팅 화면 [출처: 카스퍼스키]

이 악성코드는 일반적인 RAT 기능을 넘어 정보 탈취형 악성코드(스틸러), 키로거, 클리퍼(암호화폐 지갑 주소를 공격자가 미리 지정한 주소로 자동으로 바꿔치기하는 악성코드), 스파이웨어 기능을 하나의 악성코드에 결합한 것이 특징이다. 공격자들은 이를 MaaS 형태로 제3자에게 판매하고 있으며, 유튜브와 텔레그램을 통해 적극적으로 홍보하고 있어 숙련도가 낮은 공격자까지 사용할 가능성이 커지고 있다.

정보 탈취 기능을 통해 크리스탈엑스 RAT은 피해자의 다양한 정보를 수집할 수 있다. 시스템 정보를 수집하는 것은 물론 스팀, 디스코드, 텔레그램 계정 자격 증명을 탈취하고 웹 브라우저에 저장된 데이터도 수집한다. 브라우저 기반 클리퍼 기능을 이용해 암호화폐 지갑 주소를 공격자가 지정한 주소로 바꿔치기할 수 있어 암호화폐 이용자에게도 심각한 위협이 될 수 있다.

크리스탈엑스 RAT은 정보 탈취를 넘어 피해자를 전방위적으로 감시할 수 있는 기능도 갖추고 있다. 화면 캡처는 물론 마이크를 통한 음성 녹음, 웹캠 촬영, 피해자의 화면을 실시간으로 녹화할 수 있어 사실상 피해자의 활동 전반을 감시할 수 있다.

특히 눈에 띄는 점은 피해자를 혼란스럽게 만드는 교란 장난형 악성코드(Prankware) 기능이다. 이 기능을 이용하면 공격자는 피해자의 마우스 커서를 강제로 흔들거나, 바탕화면 배경을 변경하고, 화면 방향을 회전시키며, 바탕화면 아이콘을 숨기거나 시스템을 강제로 종료할 수 있다. 실시간 팝업 메시지와 알림을 띄워 피해자와 상호작용하는 것도 가능하다. 이러한 기능은 단순한 장난처럼 보일 수 있지만, 실제로는 피해자의 시스템을 지속적으로 방해하고 심리적인 불안감을 유발해 공격의 피해를 더욱 크게 만든다.

카스퍼스키는 대응을 위해 메신저나 이메일을 통해 전달받은 파일은 악성코드가 실행될 수 있으므로 열거나 다운로드할 때 각별히 주의해야 한다고 권한다. 게임이나 게임 모드는 반드시 공식 사이트 또는 신뢰할 수 있는 웹사이트에서만 다운로드한다. 비공식 경로에서 제공되는 파일에는 악성코드가 포함되어 있을 수 있다.

모든 PC와 모바일 기기에 ‘카스퍼스키 프리미엄’과 같은 신뢰할 수 있는 보안 솔루션을 설치한다면 잠재적인 위협을 사전에 탐지하고 감염을 예방할 수 있다는 게 이 회사의 설명이다.

또 윈두우 설정에서 ‘파일 확장명 표시’(Show File Extensions) 기능을 활성화해야 한다. 이를 통해 악성 파일을 보다 쉽게 식별할 수 있다. 트로이목마는 실행 파일이므로 .exe, .vbs, .scr와 같은 확장자를 가진 파일은 특히 주의해야 한다. 공격자는 여러 개의 확장자를 사용해 악성 파일을 동영상, 사진 또는 문서 파일처럼 위장할 수 있다.

이메일로 전달되는 알림도 주의해야 한다. 공격자는 온라인 쇼핑몰이나 은행에서 발송한 것처럼 위장한 이메일을 이용해 사용자가 악성 링크를 클릭하도록 유도하고, 이를 통해 악성코드를 유포하는 경우가 많다.

레오니드 베즈베르셴코 카스퍼스키 글로벌 연구분석팀(GReAT) 선임 보안 연구원은 “다양한 기능을 갖춘 크리스탈엑스 RAT은 피해자의 시스템을 전방위적으로 장악해 개인정보를 완전히 침해할 수 있으며 수집된 정보는 협박이나 금전 갈취에 악용될 가능성도 있다”며 “현재 초기 감염 경로는 정확히 확인되지 않았지만, 이미 수십 명의 피해자가 발생한 것으로 확인됐다”고 말했다.
이어 “카스퍼스키 텔레메트리에서는 새로운 버전의 악성코드가 지속적으로 탐지되고 있어, 이 악성코드가 현재도 활발히 개발·유지되고 있음을 보여준다”며 “가까운 시일 내 피해자 수와 감염 지역이 크게 확대될 것으로 예상한다”고 밝혔다.

이효은 카스퍼스키 한국지사장은 “MaaS 기반 RAT는 오래전부터 국내 디지털 환경의 위협 요인으로 자리잡아 왔고 파일 공유 플랫폼과 게임 커뮤니티는 크리스탈X와 같은 악성코드가 유포되는 주요 경로로 악용되고 있다”며 “크리스탈엑스 RAT은 기존 정보 탈취형 악성코드와 달리 장난형 악성코드 기능까지 내장해 개인정보 유출뿐 아니라 피해자에게 심리적 스트레스와 혼란까지 유발할 수 있다는 점에서 더욱 위협적”이라고 말했다.

이어 “국내 공격자들도 소셜미디어를 통해 저렴하면서도 다양한 기능을 갖춘 이러한 원격제어 악성코드를 손쉽게 확보할 수 있어 사이버 범죄의 진입 장벽이 더욱 낮아지고 있다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>