[긴급] 웹하드에서 게임설치 파일 위장한 모네로 코인 마이너 악성코드 유포중

2022-08-02 11:41
  • 카카오톡
  • 네이버 블로그
  • url
XMRig 악성코드, 컴퓨터가 재부팅할 때마다 config.json 파일 읽으며 마이닝 수행

[보안뉴스 기획취재팀] 국내 사용자를 타깃으로 웹하드를 통해 모네로 코인 마이너 악성코드를 유포하는 정황이 포착됐다. 웹하드 이용시 이용자들의 각별한 주의가 필요하다.


▲악성코드가 포함돼 유포중인 게임[이미지=안랩]

공격자는 일반적으로 웹하드를 이용해 성인 게임이나 게임의 크랙과 같은 불법 프로그램과 함께 악성코드를 유포한다. 이렇게 웹하드를 유포 경로로 사용하는 공격자들은 주로 njRAT이나 UdpRAT, DDoS IRC Bot과 같은 RAT 유형의 악성코드를 설치한다.

1일 ASEC 분석팀에 따르면 “최근 웹하드를 통해 XMRig 모네로 코인 마이너를 유포하는 사례가 확인되고 있다”며, “악성코드가 유포된 경로를 확인한 결과 특정 웹하드에서 게임 설치 파일로 위장해 업로드된 압축 파일을 확인했다”고 밝혔다. 실제 해당 게시글의 댓글을 보면 사용 중인 백신 프로그램(AntiVirus)에 의해 설치 과정에서 진단이 이루어짐에 따라 이미 내부에 악성코드가 포함되어 있다는 사실을 인지한 사용자들도 다수 존재한다. 이러한 게임 설치 프로그램들의 특성상 토렌트나 특정 웹하드에서 최초로 업로드되면 이후에는 다른 웹하드에서 동일하게 따라서 업로드할 수 있다.


▲압축 파일 구조[이미지=안랩]

다운로드한 압축 파일의 압축을 풀면 게임 아이콘을 위장한 ‘raksasi.exe’ 프로그램이 실행된다. 하지만 해당 파일은 XMRig 코인 마이너를 설치하는 악성코드이며 실제 게임 프로그램은 raksasi_Data 폴더 안의 Resources 폴더에 존재한다.


▲모네로 마이너 설치 악성코드[이미지=안랩]

이 악성코드는 매우 간단한 구조로 ‘c:\Xcrcure\’ 경로에 모네로 채굴 악성코드(xmrig.exe), XMRig 설정 파일(config.json), XMRig 런쳐 악성코드(MsDtsServer.exe)를 다운로드한다. 그리고 시작 폴더에 XMRig 런쳐 악성코드를 실행하는 바로가기를 ‘NewStartUp.lnk’라는 이름을 생성해 재부팅한 후 모네로 채굴 마이너가 동작하도록 한다. 마지막으로 Resource 폴더에 존재하는 원본 게임 프로그램을 실행해 사용자가 정상적으로 게임이 동작하는 것처럼 보이도록 한다.


▲XMRig 설정 파일[이미지=안랩]

이러한 과정을 통해 설치되는 악성코드는 컴퓨터가 재부팅할 때마다 동일 경로에 존재하는 config.json 파일을 읽으며 마이닝을 수행한다. 이에 대해 안랩은 “국내 웹하드 등 자료 공유 사이트를 통해 악성코드가 활발하게 유포되고 있어 사용자의 주의가 필요하다”며, “자료 공유 사이트에서 다운한 실행 파일은 각별히 주의해야 하며, 유틸리티 및 게임 등의 프로그램은 반드시 공식 홈페이지에서 다운로드하는 것”을 권장했다.
[기획취재팀(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

헤드라인 뉴스

TOP 뉴스

이전 스크랩하기


과월호 eBook List 정기구독 신청하기

    • 유엔브이코리아

    • 인콘

    • 현대틸스
      팬틸트 / 카메라

    • 이노뎁

    • 아이브스

    • 아이디스

    • TVT코리아

    • 웹게이트

    • 스누아이랩

    • 하이크비전

    • 한화테크윈
      CCTV 카메라 / 영상감..

    • ZKTeco
      ProFace X

    • 원우이엔지
      줌카메라

    • 엔토스정보통신

    • 하이테라

    • 하이앤텍

    • 다후아테크놀로지코리아

    • 이화트론

    • 지오멕스소프트

    • 테크스피어
      손혈관 / 차량하부 검색기

    • 퀀텀코리아

    • 보이저아이엔씨

    • 슈프리마

    • 미래정보기술(주)

    • 송암시스템

    • 경인씨엔에스
      CCTV / 자동복구장치

    • 가드텍

    • 성현시스템

    • 쿠도커뮤니케이션

    • 비전정보통신

    • 동양유니텍

    • 위트콘

    • 트루엔

    • 투윈스컴

    • (주)우경정보기술

    • 지에스티

    • AIS테크놀러지

    • A3시큐리티

    • 디비시스

    • 보쉬빌딩테크놀러지

    • (주)넷앤드

    • 에스지앤(주)

    • 메가존클라우드

    • 신우테크
      팬틸드 / 하우징

    • 에프에스네트워크

    • 엔시드

    • 케이제이테크

    • 알에프코리아

    • 사라다

    • 아이엔아이
      울타리 침입 감지 시스템

    • 새눈

    • 시스매니아

    • 태정이엔지

    • 엔에스게이트

    • 다원테크

    • 탄탄코어

    • 한국화웨이기술

    • (주)넥스트림

    • 두레옵트로닉스

    • (주)에이앤티글로벌

    • (주)일산정밀

    • 구네보코리아주식회사

    • 주식회사 에스카

    • 티에스아이솔루션
      출입 통제 솔루션

    • 모스타

    • 지에스티엔지니어링
      게이트 / 스피드게이트

    • 코스템

    • 유투에스알

    • 포커스에이치앤에스

    • 이스트컨트롤

    • 대산시큐리티

    • 메트로게이트
      시큐리티 게이트

    • 코디텍

    • 케이컨트롤

    • 디알에스

    • 세환엠에스(주)

    • 유진시스템코리아
      팬틸트 / 하우징

    • 카티스

    • 유니온커뮤니티

Copyright thebn Co., Ltd. All Rights Reserved.

MENU

회원가입

PC버전

닫기