호텔 와이파이 장악과 가짜 업데이트 악성코드 유포
러시아 연계 스톰-2945의 캡티브크런치 공격 캠페인
DNS 조작·기기 코드 인증 악용과 공용 와이파이 보안 경고

[보안뉴스 김형근 기자] 호텔 와이파이를 무단 장악한 러시아 해커들이 가짜 브라우저 업데이트를 통해 원격제어 악성코드(RAT) ‘콘플레이크’(CornFlake)를 유포한 것으로 나타났다.


[출처: gettyimagesbank]

마이크로소프트(Microsoft)는 이번 공격 캠페인을 ‘캡티브크런치’(CaptiveCrunch)로 추적하고 있으며, 배후로 러시아 해외정보국(SVR) 연계 해킹 조직인 스톰-2945(Storm-2945)를 지목했다.

공격자들은 호텔 와이파이의 캡티브 포털 게이트웨이 관리자 권한을 탈취한 뒤, 도메인 네임 시스템(DNS) 응답을 위조해 사용자의 인터넷 연결 확인 트래픽을 가짜 브라우저 또는 운영체제(OS) 업데이트 페이지로 우회시켰다.

일부 페이지에서는 사용자가 직접 명령어를 실행하도록 유도하는 클릭픽스(ClickFix) 기법이 사용됐으며, 최근에는 마이크로소프트의 기기 코드 인증 절차를 악용하는 방식도 확인됐다. 유포된 콘플레이크는 웹캠 촬영과 마이크 녹음, 키 입력 탈취는 물론 브라우저 쿠키와 저장된 비밀번호 수집, 스크린샷 촬영, 원격 셸 실행 등 다양한 감시 기능을 수행한다.

연구진은 메모리에서 동작하는 파워셸 기반 정보 탈취 도구 ‘초코셸’(ChocoShell)도 함께 확인했다. 이 악성코드는 마이크로소프트 365와 애저 액티브 디렉터리(Azure Active Directory) 접근 토큰 등을 탈취해 추가 인증 없이 정상 세션을 재현할 수 있다.

마이크로소프트는 여러 국가의 호텔 네트워크에서 동일한 트래픽 조작을 확인했으며, 피해 네트워크에서 공통 장비와 관리 시스템이 사용된 정황을 포착했다. 다만 피해 호텔이나 캡티브 포털 공급업체는 공개하지 않았다.

사이버 위협 분석 기업 릴라이아퀘스트(ReliaQuest)는 공격 방식이 러시아 GRU 연계 조직 APT28과 유사한 전술·기술·절차(TTP)를 보였다고 분석했다. 다만 직접적인 기술적 연관성이 확인되지 않은 만큼 공식적인 배후 지목에는 신중한 입장을 유지했다.

최초 침투 경로는 아직 조사 중이지만, 노출된 관리 인터페이스와 취약하거나 재사용된 관리자 계정 정보가 악용됐을 가능성이 제기되고 있다.

보안 전문가들은 공용 와이파이 이용 시 캡티브 포털이 제공하는 브라우저나 운영체제 업데이트, 인증서 설치, 문제 해결 도구 등의 실행을 피하고, DNS 요청까지 암호화하는 풀터널 VPN을 상시 사용하는 것이 바람직하다고 권고했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>