카스퍼스키 글로벌 연구분석팀(GReAT)이 정보 탈취와 사용자 감시, 시스템 조작 기능을 결합한 새로운 원격제어 악성코드(Remote Access Trojan, RAT) ‘CrystalX RAT’를 발견했다고 20일 밝혔다.

CrystalX RAT은 일반적인 원격제어 기능뿐 아니라 정보 탈취형 악성코드인 스틸러와 키로거, 클리퍼, 스파이웨어 기능을 하나로 결합한 것이 특징이다. 공격자들은 이 악성코드를 서비스형 악성코드(Malware-as-a-Service, MaaS) 형태로 제3자에게 판매하고 있으며, 유튜브와 텔레그램을 통해 적극적으로 홍보하고 있다.

이에 따라 전문적인 악성코드 개발 능력이 없는 공격자도 CrystalX RAT을 활용할 수 있어 사이버범죄 진입장벽이 더욱 낮아질 수 있다는 우려가 나온다.

계정 정보 탈취하고 암호화폐 지갑 주소 바꿔치기

CrystalX RAT은 감염된 기기의 시스템 정보를 수집하고 Steam, Discord, Telegram 계정의 자격 증명과 웹 브라우저에 저장된 데이터를 탈취할 수 있다.

브라우저 기반 클리퍼 기능도 갖췄다. 사용자가 암호화폐를 전송하는 과정에서 지갑 주소를 복사하면 이를 공격자가 미리 지정한 주소로 바꿔치기하는 방식이다. 사용자가 변경 사실을 알아차리지 못하면 암호화폐가 공격자의 지갑으로 전송될 수 있다.

피해자의 활동을 전방위적으로 감시하는 기능도 포함됐다. 공격자는 감염된 기기의 화면을 캡처하고 마이크를 이용해 음성을 녹음할 수 있다. 웹캠 촬영과 실시간 화면 녹화도 가능해 피해자의 기기 이용 상황과 주변 환경까지 감시할 수 있다.

마우스 흔들고 화면 회전…‘장난형 악성코드’ 기능도 탑재

CrystalX RAT에는 피해자를 혼란스럽게 만드는 장난형 악성코드(Prankware) 기능도 탑재됐다.

공격자는 피해자의 마우스 커서를 강제로 흔들거나 바탕화면 배경을 변경하고 화면 방향을 회전시킬 수 있다. 바탕화면 아이콘을 숨기거나 시스템을 강제로 종료하는 것도 가능하다. 실시간 팝업 메시지와 알림을 띄워 피해자에게 직접 반응하는 기능도 지원한다.

이 같은 기능은 겉으로는 단순한 장난처럼 보이지만, 시스템 사용을 지속해서 방해하고 피해자에게 심리적인 불안과 혼란을 유발할 수 있다. 계정 정보 탈취나 감시 기능과 함께 사용될 경우 피해 규모가 더욱 커질 가능성이 있다.

공격자-피해자 채팅 화면

레오니드 베즈베르셴코 카스퍼스키 글로벌 연구분석팀 선임 보안 연구원은 “다양한 기능을 갖춘 CrystalX RAT은 피해자의 시스템을 사실상 전방위적으로 장악해 개인정보를 완전히 침해할 수 있다”며 “계정 자격 증명을 탈취하는 데 그치지 않고 수집된 정보가 협박이나 금전 갈취에 악용될 가능성도 있다”고 말했다.

이어 “현재 초기 감염 경로는 정확히 확인되지 않았지만 이미 수십 명의 피해자가 발생한 것으로 확인됐다”며 “카스퍼스키 텔레메트리에서 새로운 버전이 지속해서 탐지되고 있어 악성코드가 현재도 활발하게 개발·유지되고 있는 것으로 보인다. 가까운 시일 안에 피해자 수와 감염 지역이 크게 확대될 것으로 예상한다”고 덧붙였다.

파일 공유 플랫폼·게임 커뮤니티 통한 유포 주의

이효은 카스퍼스키 한국지사장은 “서비스형 악성코드 기반의 원격제어 악성코드는 오래전부터 국내 디지털 환경의 위협 요인으로 자리 잡았으며, 파일 공유 플랫폼과 게임 커뮤니티는 CrystalX와 같은 악성코드의 주요 유포 경로로 악용되고 있다”고 말했다.

이어 “CrystalX RAT은 기존 정보 탈취형 악성코드와 달리 장난형 악성코드 기능까지 내장해 개인정보 유출뿐 아니라 피해자에게 심리적 스트레스와 혼란을 유발할 수 있다는 점에서 더욱 위협적”이라며 “국내 공격자들도 소셜미디어를 통해 저렴하면서 다양한 기능을 갖춘 원격제어 악성코드를 손쉽게 확보할 수 있어 사이버범죄의 진입장벽이 낮아지고 있다”고 강조했다.

카스퍼스키는 메신저나 이메일로 전달받은 파일을 열거나 내려받을 때 주의하고, 게임과 게임 모드는 공식 사이트 또는 신뢰할 수 있는 웹사이트에서만 내려받을 것을 권고했다. 모든 PC와 모바일 기기에 신뢰할 수 있는 보안 솔루션을 설치해 잠재적인 위협을 사전에 탐지하는 것도 필요하다.

Windows에서는 ‘파일 확장명 표시’ 기능을 활성화해 파일 유형을 확인해야 한다. 특히 .exe, .vbs, .scr 등의 확장자를 가진 파일은 실행에 주의해야 한다. 공격자가 여러 개의 확장자를 이용해 악성 파일을 동영상이나 사진, 문서처럼 위장할 수 있기 때문이다.

온라인 쇼핑몰이나 은행에서 보낸 것처럼 위장한 이메일 알림도 확인이 필요하다. 공격자는 이러한 이메일에 악성 링크를 넣어 사용자의 클릭을 유도하고 악성코드를 유포할 수 있다.

이준문 기자/jun@newstap.co.kr

ⓒ 뉴스탭(https://www.newstap.co.kr) 무단전재 및 재배포금지