PC방에 잠입한 악성코드? 목표는 ‘코인 마이닝’
최근 국내 PC방을 겨냥한 코인 마이너 설치 공격 사례가 발견됐다. PC방 대상 공격은 2024년 하반기부터 본격화됐으며, 아직 초기 침투 방식은 정확히 밝혀지지 않았지만, 대부분 PC방 관리 프로그램이 설치된 시스템을 주요 표적으로 삼은 것으로 분석된다. 공격자는 감염 대상 시스템을 제어하기 위해 ‘Gh0st RAT’을 사용했으며, 실제로 확인된 악성코드 대부분이 Gh0st RAT 또는 이를 설치하는 드로퍼(Dropper)로 구성돼 있다. 또한, PC방 관리 프로그램의 메모리를 직접 패치하는 악성코드와 이를 다운로드하는 다운로더(Downloader)도 함께 발견됐다. 이번 글에서는 국내 PC방 시스템을 노린 코인 마이너 설치 과정에 대해 자세히 살펴본다.
1. 공격 정황
PC방에서는 효율적인 손님들의 이용 시간 관리와 과금을 위해 전용 관리 프로그램을 사용한다. 이 프로그램은 손님이 자리에 앉아 로그인하면 즉시 시간을 자동으로 측정하고, 사용 요금 정산, 이벤트 적용 등의 기능도 자동화해 운영자의 업무 부담을 줄인다. 이번에 확인된 공격들은 대부분 국내 모 PC방 관리 프로그램이 설치된 시스템, 즉 PC방 내 관리용 PC를 주요 표적으로 삼은 것이 특징이다. 현재 보안 업계는 공격의 초기 침투 경로를 조사 중이지만, 구체적인 정황은 아직 확인되지 않았다. 공격자는 감염된 시스템이 ‘Gh0st RAT’을 설치해 원격 제어를 수행했으며, 최종적으로 ‘T-Rex’라는 이름의 코인 마이너를 설치해 암호화폐 채굴을 시도한 것으로 드러났다.
[그림 1] 흐름도
이 공격은 작년 하반기부터 시작됐으며, 해당 업체의 홈페이지에서 악성코드 프로세스 차단 목록을 관리하는 등의 조치를 취하는 것으로 보아, 제작사에서도 공격에 대처하고 있는 것으로 추정된다.
공격자는 해당 소프트웨어에 대해 어느 정도 분석을 수행해 기본적인 구조와 동작 원리를 파악하고 있는 것으로 보인다. 공격에 사용된 악성코드 중에는 카운터 PC에 설치된 프로그램의 메모리를 패치하는 기능을 탑재한 유형도 포함돼 있다. 해당 프로그램의 동작 방식은 알 수 없지만, 관련 경로에 Gh0st RAT 드로퍼가 설치된 로그가 다수 발견된 점으로 미루어 보아, 공격자는 이 기능을 통해 시스템 내 지속성을 확보하려 한 것으로 추정된다.
이외에도 일부 로그에서는 손님용 PC에 설치되는 클라이언트 프로그램의 프로세스를 통해 Gh0st RAT 드로퍼가 설치된 정황이 확인됐다. 다만, 이런 사례는 소수에 한정된다.
[그림 2] PC방 관리 프로그램의 클라이언트에 의해 설치되는 Gh0st RAT 드로퍼
[그림 3] PC방 관리 프로그램의 클라이언트에 의해 실행되는 Gh0st RAT 드로퍼
- 설치 경로: “%ProgramFiles% (x86)\********\**\*****\cmd.exe”
2. 악성코드
2.1. Gh0st RAT
Gh0st RAT은 중국의 C. Rufus Security Team이 개발한 원격 제어 악성코드로, 소스 코드가 공개돼 있어 다양한 변종이 꾸준히 등장하고 있다. 이로 인해 여러 악성코드 제작사들이 이를 기반으로 변형된 버전을 제작해 공격에 활용하고 있으며, 최근까지도 실전 공격에서 지속적으로 사용되고 있다. 일반적으로 중국어 사용자를 중심으로 활용되는 것으로 알려져 있다.
공격에 사용된 악성코드들 대부분은 Gh0st RAT과 이를 설치하는 드로퍼이다. 드로퍼는 대체로 Themida나 MPRESS와 같은 패커로 패킹돼 유포되며, Gh0st RAT을 리소스 영역에 포함된 상태로 동작한다. 실행 시에는 이를 “C:\map1800000.dll”과 같은 경로에 생성한 뒤, 로드하는 방식으로 감염을 시도한다.
[그림 4] 리소스에 존재하는 Gh0st RAT
메모리에 로드된 Gh0st RAT은 자신을 서비스로 등록해 동작하며, C&C 서버로부터 전달 받은 명령에 따라 감염 대상 시스템을 제어할 수 있다. 오픈 소스인 만큼, Gh0st RAT도 다양한 변종들이 있다. 공격에 사용된 유형은 파일 및 프로세스 제어와 같은 기본적인 원격 제어 기능들 외에도 키로깅, 스크린 캡처와 같은 정보 수집 기능들이 존재한다.
C&C 서버와 통신에서 사용되는 시그니처 문자열은 “Gh0st” 대신 “Level”이 사용된다. 공격자는 Gh0st RAT을 이용해 감염 대상 시스템을 제어할 수 있는데, 실제 공격 로그들 중 이를 악용해 Patcher 악성코드를 다운로드한 정황이 가장 두드러지게 나타났다.
[그림 5] Patcher 악성코드 설치 행위
2.2. Patcher
Patcher는 실행 중인 프로세스 중 PC방 관리 프로그램의 특정 프로세스를 찾아 메모리 패턴을 읽은 후, 가지고 있는 패턴, 즉 아래 그림의 상단과 비교한다. 만약 매칭된 경우 [그림 6]의 하단과 같이 메모리를 패치한다.
[그림 6] 메모리 검사 및 패치 패턴
참고로, 기존에는 WAV 파일의 파일명이었지만 이를 “cmd.exe”라는 이름의 파일명으로 변경했다. 구체적인 동작 과정은 알 수 없지만, 다음 경로에 Gh0st RAT 드로퍼가 확인되는 것을 보면, 특정 행위 시 악성코드가 설치되도록 조작하는 것으로 추정된다.
- 설치 로그: “%ProgramFiles% (x86)\********\**\sound\cmd.exe”
2.3. Downloader
다운로더 유형들은 단순한 형태로서 코인 마이너, Gh0st RAT 드로퍼, KillProc 또는 또 다른 다운로더를 설치하는 기능을 담당한다.
2.4. T-Rex CoinMiner
일반적으로 모네로 코인을 채굴하는 XMRig를 사용하는 다른 공격자들과 달리, 해당 공격 사례에서는 T-Rex 코인 마이너가 사용된다. 이는 PC방의 컴퓨터에 고성능 게임을 지원하기 위해 기본적으로 GPU가 설치돼 있기 때문인 것으로 추정된다. T-Rex는 GPU를 활용해 이더리움 계열이나 레이븐 코인 등을 채굴하는데 사용된다.
다음은 T-Rex 코인 마이너가 설치된 경로로 해당 업체 홈페이지의 공지사항에서 언급된 파일명들과 대부분 매칭되는 것을 알 수 있다. 공격자는 PC방 관리 프로그램이 업데이트될 때마다 설치 경로명을 변경하고 있는 것으로 보인다.
- %ProgramFiles% (x86)\Windows NT\mmc.exe
- %ProgramFiles% (x86)\Windows NT\mtn.exe
- %ProgramFiles% (x86)\Windows NT\syc.exe
- %ProgramFiles% (x86)\Windows NT\syn.exe
- %ProgramFiles% (x86)\Windows NT\tnt.exe
커맨드 라인 인자나 설정 파일이 확인되지 않아 공격자에 대한 정보는 알 수 없지만, T-Rex 외에도 Phoenix 마이너를 유포한 정황이 있는 것으로 보아 공격자의 주요 목적은 암호화폐 채굴인 것으로 보인다.
2.5. KillProc
실행 중인 코인 마이너를 종료시키는 악성코드도 확인됐다. 이외에도 음란물 및 사행성 게임 차단 프로그램 등 다양한 프로세스가 종료 대상에 포함돼 있었다.
- “***Invoker.exe”
- “*****guard_c.exe”
- “*****guard_s.exe”
- “phoenixminer.exe”
- “miner.exe”
- “ethdcrminer64.exe”
- “mine.exe”
- “kminerclient.exe”
- “pms.exe”
- “chrome.exe”
- “scse.exe”
- “notice.exe”
- “mirc.exe”
- “svohost.exe”
- “scvhost.exe”
- “svvhost.exe”
- “geekminer.exe”
- “po4.exe”
- “cmd.exe”
- “conhost.exe”
- “U0f4d43d.bin.exe”
3. 결론
이번 공격은 PC 방 관리 시스템이라는 특수한 환경을 정밀하게 노린 사례로, 앞으로 유사한 위협이 반복될 수 있음을 시사한다. 관리자는 운영체제와 PC방 관리 프로그램, 보안 솔루션을 항상 최신 상태로 유지하며 악성코드 감염을 예방하고, 의심 파일명 및 IoC 항목을 수시로 점검해 감염 여부를 조기에 파악하고 대응하는 것이 무엇보다 중요하다.
자세한 내용은 ASEC 블로그에서 확인할 수 있다.
- AhnLab콘텐츠마케팅팀
