3개 개발사가 개발한 8개 채굴 앱, 정상 앱으로 위장된 채 유통되고 있어
구글 개발자 위한 GTM 발동시켜 코인하이브 라이브러리 다운받아 활동

[보안뉴스 문가용 기자] 사용자 몰래 암호화폐를 채굴하는 기능을 가진 애플리케이션 8개가 마이크로소프트 스토어(Microsoft Store)에 안착하는 데 성공했다고 보안 업체 시만텍(Symantec)이 공개했다.


[이미지 = iclickart]

이 앱들은 피해자의 CPU 파워를 몰래 뺏어가 모네로를 채굴하는데, 공식 마이크로소프트 스토어에 배터리 최적화 튜토리얼, 인터넷 검색 웹 브라우저, 동영상 재생 프로그램, 다운로드 유틸리티 등으로 위장되어 있었다. 윈도우 10과 윈도우 10S를 겨냥해 개발된 것들이었다.

이 8가지 악성 앱은 세 명의 다른 개발사들의 계정을 통해 마이크로소프트 스토어에 업로드 됐다. 디지드림(DigiDream), 원클린(1clean), 핀두(Findoo)였는데, 이름만 다르지 같은 인물 혹은 단체가 8가지 모두를 만든 것으로 보인다고 시만텍은 주장했다.

사용자가 스토어에서 앱을 다운로드 받고 설치하면, 앱은 채굴을 담당하는 자바스크립트 라이브러리를 가져온다. 이 때 도메인 서버에 있는 구글 태그 관리자(Google Tag Manager)를 발동시킨다. 채굴 스크립트는 컴퓨터의 CPU 사이클 대부분을 소모시켜가며 모네로를 채굴해 공격자에게 가져다준다.

문제의 애플리케이션들이 스토어에 등록된 것은 2018년 4~12월 사이의 일이었다. 대다수는 연말에 올라왔다. 현재는 사라진 상태이니 대부분 짧은 기간 동안만 사용자들에게 공개되었던 것이다. 그러나 다운로드 수가 적다고 보기는 힘들다.

시만텍은 “다운로드 수를 정확히 집계하는 건 힘들지만, 이 8개 앱에 대한 사용자 평가가 총 1900개나 되었다”고 설명한다. “물론 앱 평가를 조작하는 것도 가능하고, 평가 수치를 사기적으로 올리는 것도 가능합니다. 그러나 1900은 조작을 감안하더라도 꽤나 많은 숫자입니다. 정확한 수를 파악하는 데는 전혀 도움이 되지 않지만요.”

이 앱들을 실행시키면 배경에서 사용자 몰래 도메인에 접속하고 구글 태그 관리자를 발동시킨다. 구글 태그 관리자, 혹은 GTM은 개발자들을 위한 정상 툴로, 자바스크립트를 애플리케이션에 동적으로 주입시키는 기능을 가지고 있다.

시만텍이 8개 앱이 전부 같은 인물이나 단체에서 만든 것이라고 보는 데에는 몇 가지 이유가 있다. 그 중 하나는 GTM-PRFLJPX 키다. “앱 여덟 개가 전부 같은 GTM 관련 키를 가지고 있었고, 이를 통해 같은 곳에 원격 접속해 자바스크립트 라이브러리를 다운로드 받고 있습니다. 이 스크립트는 코인하이브(Coinhive) 라이브러리의 변종입니다.”

시만텍은 “여덟 개 앱 전부 PWA(Progressive Web Applications)라는 항목 아래 포함되어 있었다”며 “전부 브라우저와는 상관없이, 독립적으로 윈도우 10에서 실행되는 앱”이었다고 설명한다. “앱은 WWAHost.exe라는 프로세스 창에서 실행되도록 설계되어 있었습니다.”

이런 모든 증거들을 종합했을 때, 시만텍은 “동일 인물이나 단체가 만든 앱이라고 결론을 내릴 수밖에 없었다”고 설명한다. 시만텍은 마이크로소프트와 구글 모두에 이와 같은 사실을 알렸다. MS는 해당 앱들을 스토어에서 재빨리 삭제했으며, 구글 태그 매니저에서 채굴 스크립트도 제거했다.

3줄 요약
1. 마이크로소프트 공식 스토어에 8개 악성 앱 등장.
2. 유틸리티 및 브라우저 앱으로 위장되어 있었으나 실상은 모네로 채굴 앱.
3. 개발사는 총 세 곳이지만 공통된 점 너무 많아 같은 인물이나 단체로 보임.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>