비프로스트랫, VMware 사칭 타이포스쿼팅 방식으로 무작위 공격

공격 대상 PC 대상 파일 정보 수집 및 조작, 파일 업·다운로드 등 다양해
사용자 ID 및 프로세스 ID 수집, 암호화한 후 공격자에게 자동으로 전송

[보안뉴스 김영명 기자] 최근 한 캠페인에서 ‘비프로스트랫(Bifrost RAT)’ 악성코드와 타이포스쿼팅(typosquatting) 방식이 적용된 C&C 서버 도메인을 사용하는 정황이 공개됐다. 타이포스쿼팅은 특정 사이트의 도메인 이름을 모방해 철자를 다르게 등록하는 방식으로, 이번 캠페인에서는 VMware 사이트를 사칭한 사이트를 공격자의 C&C 서버 도메인에 활용했다. 또한 이 과정에서 배포된 비프로스트는 감염된 환경에서 호스트 이름, IP 주소 등의 정보를 수집해 공격자에게 보내고, 공격자의 C&C 서버에서 받은 명령을 수행할 수 있다.

▲strace로 확인한 Bifrost 실행 로그[자료=잉카인터넷 시큐리티대응센터]

잉카인터넷 시큐리티대응센터의 분석에 따르면 이번 캠페인에서는 공격자의 C&C 서버 도메인으로 VMware 사이트와 유사한 ‘download.vmfare[.]com’ 사이트를 사용해 사용자의 유입을 유도했다. 또한 대만 공용 DNS 서버에 공격자의 C&C 서버 도메인을 쿼리하지만 분석 시점에서는 해당 도메인의 정보를 획득할 수 없었다.

DNS 서버에 쿼리한 도메인의 정보를 획득하면 비프로스트랫 악성코드는 감염된 환경의 IP 주소, 호스트 이름 및 프로세스 ID 등의 정보를 수집한다. 먼저 IP 주소는 시스템에 구성된 네트워크 인터페이스 목록을 얻은 다음 루프백 인터페이스를 제외한 정보를 획득한다.

시스템의 호스트 이름은 함수 호출로 획득한 데이터를 구성하는 구조체에서 획득한다. 그다음으로 시스템 호출을 사용해 해당 프로세스의 사용자 ID와 프로세스 ID를 수집한다. 수집한 정보는 IP 주소, 호스트 네임, UID, PID 등 일정한 양식에 맞춰 구성되며 알고리즘을 사용해 암호화한 후 공격자에게 전송된다.

▲데이터 수집 결과와 수집 및 전송 관련 코드[자료=잉카인터넷 시큐리티대응센터]

공격자에게 수집된 정보가 전달된 이후 공격자의 C&C 서버에서 수신된 명령에 따른 행동을 수행할 수 있다. 그리고 비트프로스트에서 사용하는 명령은 파일 정보 수집, 파일 다운로드·업로드, 파일 조작, 기타 등이 있다.

잉카인터넷 시큐리티대응센터 관계자는 “비트프로스트 랫 악성코드와 같이 타이포스쿼팅 방식을 활용해 C&C 서버 등의 도메인을 변조할 경우 탐지가 어려울 수 있어 주의가 필요하다”며 “사용자는 백신 프로그램의 실시간 감시를 활성화하고 항상 최신 버전으로 유지해야 한다”고 밝혔다. 이밖에도 리눅스 서버 관리자는 패킷 로그를 주기적으로 확인할 것도 권고되고 있다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)