반도체 전문 온라인 매거진 - 올포칩

글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr 지사장 이효은)는 카스퍼스키 글로벌 연구분석팀(GReAT)가 지금까지 공개되지 않았던 새로운 원격제어 악성코드(Remote Access Trojan, RAT)인 ‘CrystalX RAT’를 발견했다고 밝혔다. 

이 악성코드는 일반적인 원격제어 악성코드(RAT) 기능을 넘어 정보 탈취형 악성코드(스틸러), 키로거, 클리퍼(암호화폐 지갑 주소를 공격자가 미리 지정한 주소로 자동으로 바꿔치기하는 악성코드), 스파이웨어 기능을 하나의 악성코드에 결합한 것이 특징이다. 공격자들은 이를 서비스형 악성코드(MaaS) 형태로 제3자에게 판매하고 있으며, 유튜브와 텔레그램을 통해 적극적으로 홍보하고 있어 숙련도가 낮은 공격자까지 사용할 가능성이 커지고 있다. 

정보 탈취 기능을 통해 CrystalX RAT은 피해자의 다양한 정보를 수집할 수 있다. 시스템 정보를 수집하는 것은 물론 Steam, Discord, Telegram 계정 자격 증명을 탈취하고 웹 브라우저에 저장된 데이터도 수집한다. 또한 브라우저 기반 클리퍼 기능을 이용해 암호화폐 지갑 주소를 공격자가 지정한 주소로 바꿔치기할 수 있어 암호화폐 이용자에게도 심각한 위협이 될 수 있다. 

CrystalX RAT은 정보 탈취를 넘어 피해자를 전방위적으로 감시할 수 있는 기능도 갖추고 있다. 화면 캡처는 물론 마이크를 통한 음성 녹음, 웹캠 촬영, 그리고 피해자의 화면을 실시간으로 녹화할 수 있어 사실상 피해자의 활동 전반을 감시할 수 있다. 

특히 눈에 띄는 점은 피해자를 혼란스럽게 만드는 교란 장난형 악성코드(Prankware) 기능이다. 이 기능을 이용하면 공격자는 피해자의 마우스 커서를 강제로 흔들거나, 바탕화면 배경을 변경하고, 화면 방향을 회전시키며, 바탕화면 아이콘을 숨기거나 시스템을 강제로 종료할 수 있다. 또한 실시간 팝업 메시지와 알림을 띄워 피해자와 상호작용하는 것도 가능하다. 이러한 기능은 단순한 장난처럼 보일 수 있지만, 실제로는 피해자의 시스템을 지속적으로 방해하고 심리적인 불안감을 유발해 공격의 피해를 더욱 크게 만든다. 

카스퍼스키 레오니드 베즈베르셴코 글로벌 연구분석팀(GReAT)의 선임 보안 연구원은 "이처럼 다양한 기능을 갖춘 CrystalX RAT은 피해자의 시스템을 사실상 전방위적으로 장악해 개인정보를 완전히 침해할 수 있다. 계정 자격 증명을 탈취하는 데 그치지 않고, 수집된 정보는 협박이나 금전 갈취에 악용될 가능성도 있다. 현재 초기 감염 경로는 정확히 확인되지 않았지만, 이미 수십 명의 피해자가 발생한 것으로 확인됐다. 또한 카스퍼스키 텔레메트리에서는 새로운 버전의 악성코드가 지속적으로 탐지되고 있어, 이 악성코드가 현재도 활발히 개발·유지되고 있음을 보여준다. 가까운 시일 내 피해자 수와 감염 지역이 크게 확대될 것으로 예상한다"라고 말했다. 

카스퍼스키 이효은 한국지사장은 "서비스형 악성코드(MaaS) 기반 원격제어 악성코드(RAT)는 오래전부터 국내 디지털 환경의 위협 요인으로 자리잡아 왔으며, 파일 공유 플랫폼과 게임 커뮤니티는 CrystalX와 같은 악성코드가 유포되는 주요 경로로 악용되고 있다. CrystalX RAT은 기존 정보 탈취형 악성코드와 달리 장난형 악성코드(Prankware) 기능까지 내장해 개인정보 유출뿐 아니라 피해자에게 심리적 스트레스와 혼란까지 유발할 수 있다는 점에서 더욱 위협적이다"라고 말하며, "국내 공격자들도 소셜미디어를 통해 저렴하면서도 다양한 기능을 갖춘 이러한 원격제어 악성코드를 손쉽게 확보할 수 있어 사이버 범죄의 진입 장벽이 더욱 낮아지고 있다. 국내 기업과 일반 사용자 모두 무심코 파일을 다운로드하는 습관에서 벗어나 엔드포인트 전반을 보호할 수 있는 보안 체계를 구축해 감시, 자격 증명 탈취, 시스템 조작이 결합된 복합 공격에 대비해야 한다"라고 강조했다.