악성 팝업, 스팸 메일, 광고 페이지 리디렉션 등 2차 피해 우려 커
공격자, 프로그램 개발자 피싱해 계정 탈취하고 악성 코드 삽입

[보안뉴스 오다인 기자] 크롬 확장 프로그램 8개가 악성 코드에 감염돼 약 480만 명의 사용자가 위험한 것으로 나타났다. 침해된 확장 프로그램을 사용한다고 해서 당장 큰 피해가 발생하는 건 아니지만 계속 사용할 경우 컴퓨터가 공격당할 가능성이 매우 높으므로 당장 삭제하는 것이 좋다.


[이미지=iclickart]

크롬 확장 프로그램(Chrome Extension)은 사용자가 구글 크롬 브라우저를 더 편리하게 사용할 수 있도록 지원하는 프로그램이다. 이 프로그램은 크롬 웹 스토어에서 다운로드 받을 수 있는데 전 세계 약 480만 명이 사용하는 크롬 확장 프로그램 8개가 공격자에 의해 침해된 것으로 밝혀진 것이다.

침해된 크롬 확장 프로그램의 수는 현재까지 밝혀진 것만 8개로, 향후 추가적으로 밝혀질 가능성이 높다고 전문가들은 지적한다. 크롬 확장 프로그램은 플랫폼에 독립적이기 때문에 만약 침해된 프로그램을 사용하고 있다면 윈도우든 iOS든 리눅스든 관계없이 피해가 발생할 것으로 보인다.

침해된 크롬 확장 프로그램 8개는 다음과 같다.

△Chrometana 1.1.3
△Infinity New Tab 3.12.3
△Web Paint 1.2.1
△Social Fixer 20.1.1
△TouchVPN (버전 불확실)
△Betternet VPN (버전 불확실)
△Copyfish (패치 완료)
△Web Developer (패치 완료)

‘카페인(Kafeine)’이라는 이름으로 알려진 프랑스의 보안 연구자는 Chrometana 등 6개 크롬 확장 프로그램(상기 목록에서 순서대로 6개)이 침해됐다는 사실을 발견하고 지난 월요일(14일) 보안 업체 프루프포인트(Proofpoint)에 보고했다. 나머지 2개 프로그램은 이달 초 침해된 뒤 업데이트를 마친 상태다.

침해된 크롬 확장 프로그램을 사용하면 악성 팝업, 스팸 메일, 광고 페이지 리디렉션 등에 시달리게 된다. 즉, 침해된 크롬 확장 프로그램 자체만으로는 크게 위험하다고 볼 수 없지만 장기간 사용하게 될 시 타 악성 웹사이트로 리디렉션 돼 감염될 위험이 높은 것이다.

침해됐다고 밝혀진 프로그램 8개는 모두 같은 피싱 사기에 당했던 것으로 나타났다. 8개 프로그램의 개발자들은 마치 구글에서 보낸 것 같은 피싱 이메일에 속아 넘어갔다. 공격자는 개발자들에게 이메일을 보내 “구글 개발자 계정에 당장 로그인해야 하며 그렇게 하지 않으면 중요한 자산들을 잃어버릴 위험이 있다”고 위협했다. 개발자 계정을 확보한 공격자는 크롬 확장 프로그램의 소스코드 저장소에 접근해 악성 코드를 추가한 뒤, 업데이트를 진행했다.

카페인에 따르면 이 공격자는 2016년 6월부터 활동한 것으로 추정된다. 이번 사건을 보도한 해외 IT 매체 블리핑컴퓨터(bleepingcomputer)는 이 공격자가 “크롬 확장 프로그램과 크롬 웹 스토어의 내부 원리에 정통한 사람”이라고 분석했으며 공격 사실이 최근 공개됐음에도 “공격을 지속할 가능성이 높다”고 설명했다.

크롬 확장 프로그램을 사용하면서 이런 공격에 당하지 않으려면 제때마다 업데이트하는 것이 중요하다고 전문가들은 권고했다. 크롬은 자동으로 업데이트를 진행하지 않기 때문에 혹시 모를 사이버 위협에 대비해 사용하는 확장 프로그램의 개발자를 SNS 등으로 팔로우하라고도 조언했다.
[국제부 오다인 기자(boan2@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>