2019-12-11 10:10 (수)
스탄틴코 봇넷, 암호화폐 채굴 모듈을 50만대 좀비 PC에 배포해
상태바
스탄틴코 봇넷, 암호화폐 채굴 모듈을 50만대 좀비 PC에 배포해
  • 길민권 기자
  • 승인 2019.12.03 06:45
이 기사를 공유합니다

좀비 PC를 모네로 암호화폐 채굴용으로 악용…각종 멀웨어 확산에도 이용

50만대에 달하는 스탄틴코(Stantinko) 봇넷을 운영하는 범죄자들이 암호화폐 모네로(Monero) 채굴 모듈을 그들이 제어하는 컴퓨터에 배포하고 있는 정황이 포착됐다.

최소 2012년부터 활동하며 약 50만대의 컴퓨터를 제어하는 Stantinko 봇넷 운영자들은 주로 러시아, 우크라이나, 벨로루시 및 카자흐스탄의 사용자를 표적으로 삼고 있다. 그러나 이제 그들은 이를 새로운 비즈니스 모델로 확장하고 있어 각별한 주의가 필요하다.

이번 연구를 수행한 이셋(ESET) 맬웨어 분석가는 “수년 간 클릭 사기, 광고 삽입, 소셜 네트워크 사기 및 자격 증명 도용을 해온 Stantinko는 모네로를 채굴하기 시작했다. 그들은 2018년 8월부터 그들이 제어하는 컴퓨터에 암호화폐 채굴 모듈을 배포해 왔다”고 밝혔다.

Stantinko의 암호화 모듈은 smr-stak 오픈소스 채굴 모듈의 변조된 버전이다. 이 모듈의 가장 주목할만한 기능은 분석을 방해하고 탐지를 피하기 위해 난독화되는 방식이다.

이셋 분석가는 “소스 레벨 난독화를 무작위로 사용하고 Stantinko의 운영자들이 새로운 피해자를 대상으로 하는 모듈을 컴파일하기 때문에 이 모듈의 각 샘플은 고유하다”라고 언급했다.

한편 난독화 외에도 몇 가지 흥미로운 트릭을 사용한다. 이 모듈은 통신을 숨기기 위해 마이닝 풀과 직접 통신하지 않고 유튜브 비디오의 설명 텍스트에서 얻은 IP 주소의 프록시를 이용한다. 최근 이셋 연구원이 분석한 뱅킹 맬웨어인 ‘Casbaneiro’가 유튜브 비디오 설명에 데이터를 숨기는 것과 비슷한 기술이다.

분석가는 “이러한 악용 사례를 유튜브에 알렸으며 이 비디오가 포함된 모든 채널이 삭제되었다”고 말했다.

Stantinko는 피해자의 의심을 피하기 위해 PC가 배터리 전원을 사용 모드이거나 작업 관리자가 감지되면 채굴 기능을 일시 중단한다. 또한 다른 채굴 프로그램이 컴퓨터에서 실행 중인지 확인해 일시적으로 중지시킨다. 또한 실행 중인 프로세스를 스캔해 보안 소프트웨어를 감지한다.

이셋 분석가는 “Stantinko는 위험한 맬웨어와는 거리가 있지만 컴퓨터가 범죄자들에게 돈을 버는 도구로 이용되는 것은 아주 짜증나는 일이다. 더 놀라운 것은 Stantinko가 언제든지 피해자의 컴퓨터에 다른 맬웨어를 심을 수 있다는 사실이다”라고 경고했다.

★정보보안 대표 미디어 데일리시큐!★