무작위 도메인 생성 기법으로 광고 차단 못하도록 했던 업자
무작위로 생성했던 도메인으로 이제는 암호화폐 채굴 시작해
[보안뉴스 문가용 기자] 팝애즈 퍼블리셔(PopAds Publisher)라는 광고 네트워크에서 코인하이브(Coinhive)를 활용한 크립토재킹 공격이 발견됐다. 보안 업체인 360 넷랩(360 Netlab)의 발표에 따르면 이러한 공격은 2017년 12월부터 진행됐다.
.jpg)
팝애즈는 얼마 전 도메인 생성 알고리즘 기술을 사용해 광고 차단기를 피해가는 수법을 활용하다가 적발된 바 있는 회사다. 당시 팝애즈는 “고객들이 이전에는 현금화할 수 없었던 트래픽을 현금화시켜주려고 했다”고 주장했다. 문제의 코인하이브 역시 팝애즈가 심은 것으로 보인다.
2017년 중반 팝애즈는 무작위로 생성된 듯한 도메인들을 사용해 광고가 일반 인터넷 이용자들에게 반드시 도달할 수 있도록 했다. 360 넷랩은 이러한 도메인들을 DGA.popad라고 부른다. 2017년 말 즈음부터 팝애즈는 이 도메인들을 크립토재킹 공격에 활용하기 시작했다. 이 모든 것들이 최종 사용자에게 전혀 고지되지 않은 채 진행됐다.
현재 많은 인터넷 사용자들은 쾌적한 서핑을 위해 광고 차단 툴들을 사용한다. 이는 광고 네트워크 사업자들에게 치명적으로 작용한다. 그래서 사업주들은 광고 차단 툴을 피해가기 위한 여러 방법들을 사용한다. 그중 하나가 팝애즈처럼 무작위로 도메인을 생성하는 것이다. 새롭게 생성된 도메인에 광고를 호스팅하면 일일이 차단하기 힘들어지기 때문이다.
또한 크립토재킹 공격이란 암호화폐를 채굴하는 브라우저용 코드를 심어 사이트를 방문하는 사람들의 컴퓨터로 암호화폐를 채굴하는 행위를 말한다. 팝애즈는 광고를 호스팅하기 위해 만든 무작위 도메인들에 광고뿐만 아니라 코인하이브와 비슷한 coinhive.min.js 웹 채굴 코드를 호스팅하기까지 한 것이다.
심지어 이러한 무작위 생성 도메인 중 몇 가지는 방문자가 대단히 많기도 하다. 알렉사가 선정한 세계 최고 사이트 2000개 혹은 3000개 안에 포함되는 것도 있을 정도다.
이런 사이트에 접속을 하게 되면 CPU 사용량이 채굴 때문에 최대치까지 오른다. 360 넷랩에 의하면 DGA.popad 사이트들에 있는 favicon.ico가 바로 문제의 웹용 채굴코드라고 한다. 이러한 무작위 생성 사이트들에는 대부분 성인용 콘텐츠가 호스팅되어 있으며, 각종 자료를 다운로드 하게 해주기도 한다.
채굴코드는 광고 차단 솔루션으로 막을 수 없다. 그러므로 광고 사업자 입장에서는 광고 차단기에 대한 걱정을 하지 않고 수익을 올릴 수 있게 된다.
보통 사용자들의 트래픽은 표준 도메인인 serve.popads.net으로 전송되는데, 이 사용자에게서 광고 차단 솔루션이 발견될 경우 이 표준 도메인이 차단된다. 그리고 DGA.popads로 보내진다. 그리고 여기서부터는 광고도 사용자에게 전달되고 채굴 행위도 시작된다.
팝애즈 측은 아직 이에 대해 아무런 입장 표명을 하지 않고 있다.
[국제부 문가용 기자(globoan@boannews.com)]
무작위로 생성했던 도메인으로 이제는 암호화폐 채굴 시작해
[보안뉴스 문가용 기자] 팝애즈 퍼블리셔(PopAds Publisher)라는 광고 네트워크에서 코인하이브(Coinhive)를 활용한 크립토재킹 공격이 발견됐다. 보안 업체인 360 넷랩(360 Netlab)의 발표에 따르면 이러한 공격은 2017년 12월부터 진행됐다.
[이미지 = iclickart]
팝애즈는 얼마 전 도메인 생성 알고리즘 기술을 사용해 광고 차단기를 피해가는 수법을 활용하다가 적발된 바 있는 회사다. 당시 팝애즈는 “고객들이 이전에는 현금화할 수 없었던 트래픽을 현금화시켜주려고 했다”고 주장했다. 문제의 코인하이브 역시 팝애즈가 심은 것으로 보인다.
2017년 중반 팝애즈는 무작위로 생성된 듯한 도메인들을 사용해 광고가 일반 인터넷 이용자들에게 반드시 도달할 수 있도록 했다. 360 넷랩은 이러한 도메인들을 DGA.popad라고 부른다. 2017년 말 즈음부터 팝애즈는 이 도메인들을 크립토재킹 공격에 활용하기 시작했다. 이 모든 것들이 최종 사용자에게 전혀 고지되지 않은 채 진행됐다.
현재 많은 인터넷 사용자들은 쾌적한 서핑을 위해 광고 차단 툴들을 사용한다. 이는 광고 네트워크 사업자들에게 치명적으로 작용한다. 그래서 사업주들은 광고 차단 툴을 피해가기 위한 여러 방법들을 사용한다. 그중 하나가 팝애즈처럼 무작위로 도메인을 생성하는 것이다. 새롭게 생성된 도메인에 광고를 호스팅하면 일일이 차단하기 힘들어지기 때문이다.
또한 크립토재킹 공격이란 암호화폐를 채굴하는 브라우저용 코드를 심어 사이트를 방문하는 사람들의 컴퓨터로 암호화폐를 채굴하는 행위를 말한다. 팝애즈는 광고를 호스팅하기 위해 만든 무작위 도메인들에 광고뿐만 아니라 코인하이브와 비슷한 coinhive.min.js 웹 채굴 코드를 호스팅하기까지 한 것이다.
심지어 이러한 무작위 생성 도메인 중 몇 가지는 방문자가 대단히 많기도 하다. 알렉사가 선정한 세계 최고 사이트 2000개 혹은 3000개 안에 포함되는 것도 있을 정도다.
이런 사이트에 접속을 하게 되면 CPU 사용량이 채굴 때문에 최대치까지 오른다. 360 넷랩에 의하면 DGA.popad 사이트들에 있는 favicon.ico가 바로 문제의 웹용 채굴코드라고 한다. 이러한 무작위 생성 사이트들에는 대부분 성인용 콘텐츠가 호스팅되어 있으며, 각종 자료를 다운로드 하게 해주기도 한다.
채굴코드는 광고 차단 솔루션으로 막을 수 없다. 그러므로 광고 사업자 입장에서는 광고 차단기에 대한 걱정을 하지 않고 수익을 올릴 수 있게 된다.
보통 사용자들의 트래픽은 표준 도메인인 serve.popads.net으로 전송되는데, 이 사용자에게서 광고 차단 솔루션이 발견될 경우 이 표준 도메인이 차단된다. 그리고 DGA.popads로 보내진다. 그리고 여기서부터는 광고도 사용자에게 전달되고 채굴 행위도 시작된다.
팝애즈 측은 아직 이에 대해 아무런 입장 표명을 하지 않고 있다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2025-04-07] 
.png)
