암호화폐 주소 탈취 악성코드 '에그재거', 백도어는 여전히 열려있다

해킹 그룹 '살리티'의 악성코드 유포망이 지난 8월 31일 대규모 국제 공조 작전을 통해 차단되었으나, 이미 감염된 컴퓨터에 설치된 '에그재거(EggJagger)' 악성코드가 계속해서 암호화폐 주소 탈취를 시도하고 있어 사용자들의 각별한 주의가 요구됩니다.

미국 법무부가 발표한 바에 따르면, 이번 작전은 살리티 봇넷의 새로운 악성코드 배포 능력을 무력화시키는 데 성공했습니다. 그러나 이미 사용자들의 컴퓨터에 침투하여 설치된 에그재거는 여전히 활성 상태이며, 복사된 암호화폐 주소를 해커가 지정한 주소로 몰래 바꿔치기하는 행위를 지속할 수 있습니다. 이는 곧 사용자가 의도한 수신자가 아닌, 해커에게 암호화폐를 송금하게 되는 치명적인 결과를 초래할 수 있습니다.

크라우드스트라이크(CrowdStrike)는 9월 1일 발표한 보고서에서 살리티 봇넷이 전 세계 33,000대 이상의 감염된 컴퓨터에 악성 페이로드를 배포했다고 밝혔습니다. 이는 감염된 컴퓨터의 수치이며, 실제로 암호화폐를 탈취당한 사용자의 정확한 수는 아직 집계되지 않았습니다. 이번 국제 작전에는 미국을 포함하여 불가리아, 헝가리, 루마니아 등 여러 국가의 사법 기관이 참여했으며, 살리티와 관련된 도메인 압수 및 추가적인 도메인 차단 조치가 이루어졌습니다.

**에그재거의 위험성: 복사-붙여넣기의 함정**

크라우드스트라이크는 지난 8년간 살리티의 주요 페이로드로 에그재거를 지목했습니다. 이 악성코드는 사용자가 클립보드에 복사하는 내용을 실시간으로 감시합니다. 특히 비트코인, 이더리움 등 암호화폐 주소를 복사하는 경우, 에그재거는 해당 주소를 즉시 탈취범이 제어하는 주소로 변경합니다. 이후 사용자가 무심코 결제 창에 붙여넣고 거래를 승인하면, 암호화폐는 의도치 않은 수신자, 즉 해커에게 흘러 들어가게 됩니다.

이러한 주소 바꿔치기 악성코드는 일단 감염된 컴퓨터에 설치되면, 외부의 봇넷 통신이 차단되더라도 독립적으로 계속 작동할 수 있습니다. 따라서 사용자들은 자신의 컴퓨터가 살리티 봇넷에 감염되었음을 확인했다면, 설치된 에그재거 악성코드를 즉시 제거하는 것이 필수적입니다. 단순한 네트워크 연결 차단만으로는 이미 시스템 깊숙이 자리 잡은 악성코드를 무력화시킬 수 없기 때문입니다.

**살리티 봇넷의 작동 방식과 복구의 어려움**

크라우드스트라이크는 살리티를 파일 감염형 악성코드로 분류했습니다. 이는 실행 파일에 자신을 첨부하여 네트워크 공유, 이동식 저장 장치, 파일 공유 등을 통해 확산되는 방식입니다. 이미 감염된 파일들은 네트워크 통신이 차단된 것과는 별개의 문제입니다. 즉, 살리티 봇넷의 통신망이 마비되었다고 해서 이미 시스템 내부에 퍼진 악성 파일 자체가 사라지는 것은 아니라는 의미입니다.

이번 작전을 통해 감염된 기기들이 사용하는 피어(Peer) 목록이 변경되었으며, 공격자와의 직접적인 통신이 차단되었습니다. 대신 방어 측에서 제어하는 '싱크홀(sinkhole)' 서버로 연결되도록 유도되었습니다. 크라우드스트라이크의 보고에 따르면, 이렇게 고립된 봇들은 더 이상 새로운 악성 페이로드 다운로드 지시를 받거나 악성 파일을 직접 주고받을 수 없게 되었습니다. 또한, 협력 기관들은 악성 페이로드를 호스팅하던 URL들도 함께 차단하는 데 성공했습니다.

**네트워크 관리자를 위한 권고 및 향후 과제**

네트워크 운영자들에게 크라우드스트라이크는 네트워크 로그와 장치 원격 측정 데이터에서 UDP 트래픽이 특정 주소(188.166.101[.]148)로 향하는지 확인해 볼 것을 권고했습니다. 이러한 통신 패턴이 발견될 경우, 이는 살리티 감염을 시사하며 즉각적인 조치가 필요합니다. 크라우드스트라이크의 기술 보고서는 또한 실행 중인 프로세스를 스캔하기 위한 YARA 탐지 규칙도 제공하여, 보안 전문가들이 감염 여부를 보다 정확하게 파악할 수 있도록 돕고 있습니다.

미국 법무부는 섀도우서버 재단(Shadowserver Foundation)이 인터넷 서비스 제공업체(ISP) 및 컴퓨터 보안 사고 대응팀(CSIRT)과 협력하여 감염 사례를 식별하고 영향을 받은 사용자들에게 알리는 작업을 진행 중이라고 밝혔습니다. 이는 이번 작전의 후속 조치로서, 광범위한 피해를 최소화하고 추가 피해를 예방하기 위한 중요한 단계입니다.

이번 살리티 봇넷 차단 작전은 국제적인 사이버 범죄 대응의 성공 사례로 평가받고 있습니다. 그러나 에그재거와 같이 이미 시스템에 깊숙이 침투한 악성코드가 여전히 위협이 되고 있음을 시사하며, 암호화폐 사용자들은 항상 최신 보안 업데이트를 유지하고, 의심스러운 링크나 파일은 열지 않으며, 이중 인증(2FA) 사용 등 기본적인 보안 수칙을 철저히 지키는 것이 중요합니다. 또한, 암호화폐 주소를 복사하여 붙여넣을 때는 반드시 수신자 주소를 다시 한번 확인하는 습관을 들여야 합니다.

기술의 발전과 함께 사이버 공격의 수법 또한 더욱 정교해지고 있습니다. 이번 사건은 암호화폐 생태계 전반의 보안 강화와 사용자들의 인식 개선이 시급함을 다시 한번 일깨워주고 있습니다.