OX Security, PolinRider 악성코드 서버 은닉처가 이더리움(ETH) 트랜잭션에 있음을 추적, IP 4개 확인

트랜잭션 데이터 속에 숨겐 서버 주소

사이버보안 업체 OX Security의 연구진이 명령제어 서버 주소를 이더리움(ETH) 블록체인 트랜잭션 데이터 안에 숨기는 악성코드 캠페인을 확인했다. 이런 구조 덕분에 공격자는 감염된 소프트웨어를 건드리지 않고도 인프라를 통째로 교체할 수 있다. 이번 발표는 수요일인 11월 4일 공개된 보고서 'PolinRider의 귀환: 하이재킹된 npm 패키지, 악성코드 인프라 은폐용 이더리움 블록체인'에 담겼다. 이번 주 시장의 관심이 이더리움 가격에 쏠려 있는 사이 이번 공개는 이더리움 네트워크의 전혀 다른 성질을 겨냥한다. 트랜잭션 장부가 공개되어 있고, 영구 보존되며, 어떤 프로그램이든 읽을 수 있다는 점이다. 그래서 숨김 장소로 쓰기에 딱 맞는 셈이다.

캠페인의 중심에 있는 악성코드는 PolinRider로 불린다. 배포 경로는 npm, 즉 개발자들이 애플리케이션에 쓸 미리 만들어진 구성 요소를 내려받는 패키지 저장소다. 이런 패키지는 수많은 프로젝트에 들어가기 때문에 하이재킹된 구성 요소 하나가 감염을 단일 표적을 넘어 넓게 퍼뜨릴 수 있다. 공격자는 새 악성 코드를 올리는 대신 이미 정상 유통 중이던 패키지를 가로채 그 안에 PolinRider를 심었다. 영향을 받은 패키지를 설치한 개발자의 컴퓨터에서 코드가 곧바로 실행되고, 그 기계가 이후 공격자가 무엇을 내려보내든 출발점이 된다. 특이한 지점은 코드가 명령을 찾는 곳이다. 기존 악성코드는 공격자의 서버 주소를 실행 파일 자체에 박아 넣는다. 방어자가 찾아 차단할 고정된 표적이 생기는 구조다. 서버를 막으면 공격자는 악성코드를 다시 만들어 재배포해야 하고, 이는 느리고 비용이 드는 작업이다. PolinRider는 다르게 작동한다. 감염된 프로그램은 이더리움에 기록된 특정 트랜잭션을 확인하고, 그 트랜잭션의 데이터 필드에 숨겨진 서버 주소를 꺼낸 뒤 해당 서버에 접속해 추가 악성 코드를 내려받아 실행한다. 일반 트랜잭션 데이터만으로 주소를 실어 나를 수 있기 때문에 스마트 컨트랙트조차 필요하지 않다. 원래라면 악성코드를 고쳐 쓰고 다시 배포해야 할 일을 온체인 기록 한 번으로 끝내는 셈이다.

OX Security는 이번 캠페인에서 사용된 이더리움 주소 1개와 악성코드 배포에 가담한 서버의 IP 주소 4개를 확정했다. 이 지표들은 네트워크 방어자들이 자사 로그를 뒤져볼 구체적인 실마리가 된다. 새 패키지가 아니라 기존 패키지를 노린 선택도 의미가 있다. 자리 잡은 구성 요소는 신뢰와 기존 설치 기반을 이미 갖고 있어 개발자들이 익숙한 업데이트를 의심하지 않고 넘어가기 때문이다. 일단 악성 코드가 내부에 들어오면 이후 캠페인의 생존 장치는 블록체인 요소가 맡는다. 체인 자체에는 악성코드가 없고 포인터만 놓여 있으므로, 블록체인을 뒤져 수상한 페이로드를 찾는 스캐닝은 지울 대상을 발견하지 못한다. 보안팀이 배포 서버 하나를 찾아 차단하면 공격자는 새 트랜잭션에 새 서버 주소를 기록하고, 이미 감염된 모든 기계는 그 항목을 읽어 재접속한다. 엔드포인트에서는 아무것도 바뀌지 않는데도 작전이 살아남는 구조로, 공격자와 방어자 사이의 통상적인 균형이 뒤집혀 있다. 보고서는 기계 소유자가 감수하는 위험도 짚었다. 실제로 악성코드가 실행됐다면 해당 컴퓨터에 저장된 암호화폐 지갑 정보와 로그인 자격 증명이 노출됐는지 확인하라는 것이다. 개발자 워크스테이션에서 돌아가는 코드는 대개 바로 그 정보 저장소 바로 옆에 자리하기 때문이다. OX Security는 확인된 탈취 사례는 보고하지 않았으며, 실행이 확인된 환경에서 점검해야 할 위험으로 규정했다. 연구진은 이 사례가 개발 과정의 평범한 소프트웨어 구성 요소가 공격 경로가 될 수 있음을, 그리고 공개 블록체인 트랜잭션 데이터가 악성코드 유통에 재활용될 수 있음을 보여준다고 정리했다.

공격 인프라로 읽히는 블록체인

이 기법은 차단 작전의 계산식을 바꾼다. 서버 하나를 끊는 것은 승리가 아니라 몇 시간 분의 시간 벌기에 불과하다. 공격자는 사소한 가스비만 내면 다음 주소를 온체인에 올릴 수 있고, 이더리움에 기록된 데이터는 밸리데이터의 확인을 받아 수정하거나 내릴 수 없기 때문이다. 크립토 믹서가 자금 이동을 가리는 데 체인을 쓴다면 PolinRider는 정반대로 체인의 투명성을 활용해, 감염된 코드만 찾을 줄 아는 눈에 노골적으로 인프라 정보를 놓아둔다. 결국 지속 가능한 방어선은 엔드포인트에 남는다. 개발팀은 어떤 패키지가 자사 기계에서 실행되는지, 그 패키지가 어떤 외부 주소를 조회하는지 가시성을 확보해야 한다. OX Security가 공개한 지표, 이더리움 주소 1개와 서버 IP 4개가 그 점검의 출발점이다.