2000개 해킹된 워드프레스 사이트, 범죄 인프라로 악용

사이버 보안 업체 체크포인트 리서치(Check Point Research)가 약 2,000개의 해킹된 워드프레스 웹사이트가 '스톱앤프로텍트(StopAndProtect)' 악성코드 작전에 동원된 사실을 확인했다고 발표했다. 이들은 단순한 악성코드 유포를 넘어 랜섬웨어 배포, 데이터 탈취, 피해자 감시 등 광범위한 범죄 활동에 활용된 것으로 밝혀져 충격을 주고 있다.

체크포인트 리서치는 지난 5월 중순 처음 발견된 스톱앤프로텍트 랜섬웨어 패밀리를 추적하는 과정에서 이러한 광범위한 범죄 인프라를 발견했다. 이들 해킹된 웹사이트는 악성코드를 호스팅하고, 감염된 컴퓨터에 명령을 전송하며, 탈취한 문서, 스크린샷, 활동 로그 등을 저장하는 역할을 수행했다.

보안 연구원 야로미르 호레지(Jaromír Horejsi)는 “이번 작전은 단 하나의 악성코드에 의존하는 것이 아니라, 범죄 소프트웨어들의 총체적인 도구함을 활용한다”고 설명했다. 그는 “일부 구성 요소는 파일을 암호화하고, 다른 구성 요소는 조용히 문서를 훔치거나 화면을 잠그며, 또 다른 구성 요소는 공격자와 피해자 간의 실시간 채팅 역할을 한다”고 덧붙였다.

보고서에 따르면, 이 악성코드는 윈도우(Windows) 사용자를 주요 표적으로 삼으며, 해킹된 웹사이트에 나타나는 가짜 캡차(CAPTCHA)를 통해 시작된다. 사용자가 ‘클릭픽스(ClickFix)’라는 프롬프트에 따라 파워쉘(PowerShell) 명령을 실행하면, 이는 자격 증명, 암호화폐 지갑 시드 문구 탈취, 네트워크 및 USB 드라이브를 통한 확산, 화면 잠금, 랜섬웨어 배포 등 다양한 기능을 수행하는 악성코드를 설치한다.

맥OS(macOS) 및 리눅스(Linux) 사용자 역시 영향을 받는지 여부는 아직 명확히 밝혀지지 않았다.

하지만 이번 범죄 조직의 보안 실수(OPSEC failures)는 체크포인트 연구원들에게 작전의 내부를 깊숙이 들여다볼 수 있는 기회를 제공했다. 호레지 연구원은 “개발자의 운영 보안 실패로 인해, 피해자 컴퓨터의 상세한 감염 로그, 감염된 컴퓨터의 스크린샷, 그리고 범죄자들이 해킹된 웹사이트를 대량으로 관리하는 데 사용하는 도구들의 소스 코드 등 많은 파일이 노출되었다”고 밝혔다.

7월 24일까지 이 캠페인은 6,000개 이상의 고유 IP 주소를 감염시켰으며, 이 중 1,852개가 미국, 630개가 각각 러시아와 인도에서 발생한 것으로 집계되었다. 노출된 디렉토리에는 피해자 컴퓨터의 감염 로그와 스크린샷이 포함되어 있었다. 연구원들은 5월 중순부터 7월 말까지 31,000개 이상의 스크린샷과 문서, 비밀번호, 암호화폐 지갑 파일 등 탈취된 데이터를 포함하는 700개 이상의 아카이브를 수집할 수 있었다.

체크포인트는 위협 행위자가 스스로도 실수로 인해 감염된 것으로 보고 있다. 호레지 연구원은 “피해자 컴퓨터에서 유출된 수백 개의 파일을 수집했는데, 한 아카이브에 의심스러운 내용을 담은 여러 비정상적인 파일이 포함되어 있어 위협 행위자가 스스로 감염된 것으로 믿는다”며 “이것은 우리가 공격자가 어떻게 운영되는지, 그리고 그들이 통제하는 것으로 보이는 감염된 도메인의 수를 더 잘 이해하는 데 도움이 된다”고 언급했다.

‘클릭픽스’는 올해 여러 다른 악성 캠페인에서도 발견된 바 있다. 특히 지난 5월에는 FBI 국장과 연계된 의류 웹사이트에서 유사한 악성코드 활동이 보고되기도 했다. 이번 사건은 웹사이트 보안의 중요성과 함께, 사이버 범죄가 진화하고 있음을 다시 한번 경고하고 있다. 사용자들은 출처가 불분명한 링크나 파일 다운로드, 캡차 확인 등에 각별한 주의를 기울여야 하며, 웹사이트 운영자는 정기적인 보안 업데이트와 점검을 통해 잠재적인 위협으로부터 자신들의 인프라를 보호해야 할 것이다.