크로미엄 무결성 값 위조해 잠입
30초마다 쿠키와 방문 기록 넘겨
낯선 확장 프로그램과 nm_host.exe 실행 점검

크롬과 엣지에 확장 프로그램인 척 파고들어 브라우저를 감시 도구로 바꾸는 공격 도구가 나왔다. 계정 정보와 세션 쿠키를 훔치는 데 그치지 않고 PC 명령까지 실행한다.

보안 기업 소크레이더가 이 도구를 ‘PEEP’으로 명명하고 분석 결과를 공개했다.

▲크롬과 엣지 브라우저를 감시도구로 바꾸는 공격도구가 발견됐다. [출처: 구글, 마이크로소프트]

PEEP은 처음부터 남의 PC를 뚫는 용도가 아니다. 이미 관리자 권한이나 명령 실행 권한을 확보한 공격자가 자리를 굳히려고 쓰는 후속 도구다.

설치 방식이 문제다. 크롬 웹스토어를 거치지 않고 설치 확인 창도 띄우지 않는다. 크로미엄이 설정 파일 위변조를 막으려고 넣어둔 무결성 값을 위조해 브라우저 프로필에 확장 프로그램을 직접 밀어넣는다.

이용자 눈에는 ‘스마트 북마크’라는 평범한 확장 프로그램으로 보인다.

심어진 뒤에는 30초마다 조종 서버에 접속해 명령을 받는다. 통신은 암호화하지 않은 일반 HTTP로 이뤄진다. 경로는 △명령 수신 △감염 등록 △상태 보고 △자료 전송으로 나뉜다.

수집 대상은 △방문 기록 △열려 있는 탭 정보 △세션 쿠키다. 여기에 웹페이지 내용을 바꾸고 세션을 가로채는 기능도 갖췄다.

nm_host.exe라는 보조 실행 파일을 함께 둔다. 브라우저와 운영체제를 잇는 통로로 삼아 PC에서 명령을 실행하고 프로세스와 서비스 정보까지 긁어모은다. 파워셸 스크립트 세 개와 리눅스용 파이썬 스크립트도 함께 발견됐다.

소크레이더는 PEEP이 오픈소스 도구 레드엑스트(RedExt)를 바탕으로 만들어졌다고 밝혔다. 레드엑스트는 앞서 글래스웜 공격에도 쓰인 도구다. 여기에 △설치 기능 △운영체제 연결 통로 △상태 보고 기능 △넓어진 명령 목록이 더해졌다.

배후는 확인되지 않았다. 다만 소스 코드에 중국어 흔적이 남아 있어 중국어권 공격자로 추정된다. 코드에 ‘Authorized CTF’라는 문구가 있어 안전장치를 낮춘 AI 도구로 만들었다는 분석도 나왔다.

조종 서버의 상태 확인 페이지에는 발견 시점 기준 △감염 기기 34대 △활성 세션 10건 △수집 데이터 507건이 찍혀 있었다. 실제 감염 규모는 확인되지 않았다.

출처 : 보안뉴스(https://www.boannews.com)