이란 정부와 연계된 해킹 조직이 'CHOSEN BRICK'이라는 윈도우 악성코드를 이용해 전 세계 반체제 인사·활동가·언론인을 감시하고 있습니다. 이 악성코드는 이메일·텔레그램·왓츠앱 대화 내용을 훔치고, 스크린샷을 찍거나 마이크로 음성을 녹음하는 기능을 갖추고 있습니다. 공격자는 신뢰할 수 있는 지인이나 기술 지원 담당자를 사칭해 피해자에게 접근한 뒤, 정상 앱처럼 위장된 악성 파일을 실행하도록 유도합니다. 미국·영국·네덜란드 사이버 보안 기관과 FBI가 공동 보안 권고문을 발표하며 주의를 촉구했습니다. 윈도우 레지스트리 실행 항목(Registry Run Keys)에서 수상한 항목이 발견되거나, 텔레그램 API·VultrObjects·StorjShare 등과 예상치 못한 연결이 감지되면 즉시 조사가 필요합니다.
이란 국가 연계 해킹 조직이 CHOSEN BRICK 악성코드를 사용해 미국·영국·네덜란드 등지의 반체제 인사, 활동가, 언론인을 표적으로 삼아 광범위한 스파이 활동을 전개하고 있다.
피해자의 이메일·메신저 통신 내용 탈취, 스크린샷·음성 녹음, 파일 삭제 또는 시스템 전체 초기화까지 가능하며, 탈취된 정보가 친이란 성향 유출 사이트에 공개돼 실제 물리적 위협(납치·살해 기도 등)으로 이어질 수 있다.
왓츠앱·텔레그램을 통한 사회공학(Social Engineering) 공격으로, 악성 파일을 Pictory·Norton Antivirus·KeePass 등 정상 앱으로 위장해 설치를 유도하고, Windows Registry Run Keys로 지속성을 확보한 후 Microsoft Defender 예외 등록으로 탐지를 우회한다.
미국 FBI·영국 NCSC·네덜란드 사이버 보안 기관이 공동 권고문을 발표했으며, 레지스트리 실행 항목 점검, 공개된 침해지표(IoC) 대조, 텔레그램 API·VultrObjects·StorjShare·IPRoyal·LightningProxies 등과의 비정상 연결 조사를 권고하고 있다.
회사 보안 정책 우회를 명목으로 개인 기기에서 파일을 실행하도록 유도하는 요청은 강력한 피싱 징후이므로 즉시 의심해야 하며, 반체제 성향 구성원이나 해외 거주 활동가를 지원하는 조직은 특히 표적이 될 수 있음을 인지해야 한다.
본문
정부 기관들은 이란 국가와 연계된 해커들이 'CHOSEN BRICK'이라는 이름의 윈도우 악성코드를 사용해 전 세계 반체제 인사·활동가·언론인을 표적으로 삼고 있다고 경고하고 있습니다.
이 악성코드는 데이터 절취 및 스파이 기능을 갖추고 있으며, 이메일·텔레그램·왓츠앱 통신 내용을 수집하고 스크린샷을 촬영하며 오디오를 녹음합니다.
위협 행위자는 주로 미국·영국·네덜란드에 거주하는 개인들을 표적으로 삼았으며, 해당 국가의 사이버보안 기관들은 FBI와 함께 공동 보안 권고문을 발표했습니다.
전형적인 공격은 신뢰할 수 있는 지인이나 기술 지원 담당자로 위장한 사회공학 메시지를 왓츠앱 또는 텔레그램을 통해 표적에게 발송하는 방식으로 시작됩니다.
위협 행위자는 피해자를 속여 정상 앱으로 위장한 악성 파일(예: Pictory, RunwayML, Norton Antivirus, Telegram, Adobe Flash Player, KeePass)을 열도록 유도하며, 기업 보안 차단 정책을 우회한다는 명목으로 개인 기기에서 실행하도록 권유하는 경우가 많습니다.
해당 기관들에 따르면 공격자는 사용하는 미끼(pretext)에 따라 의료 관련 내용을 사용하기도 했습니다.
미끼로 사용된 MRI 스캔 문서
출처: NCSC
앱은 미끼와 일치하는 그럴듯한 화면을 표시하는 동시에, 백그라운드에서 CHOSEN BRICK을 자동으로 설치하고 Windows 레지스트리 Run 키를 통해 지속성을 확보합니다.
이 악성코드는 Microsoft Defender 예외 항목을 추가해 탐지를 회피하고, 피해자 ID와 연동된 전용 텔레그램 봇에 연결해 명령제어(C2) 채널로 활용합니다.
실행되면 CHOSEN BRICK은 다음 작업을 수행할 수 있습니다:
- 시스템 정보 수집
- 실행 중인 프로세스 열거
- 스크린샷 캡처
- 마이크를 통한 오디오 녹음
- 이메일 내용 탈취
- 텔레그램 또는 왓츠앱 브라우저 데이터 탈취
C:\Windows \SysWOW64에 추가 페이로드 다운로드- 파일 삭제
- 호스트 시스템 전체 초기화
탈취된 데이터는 텔레그램이나 VultrObjects·StorjShare 같은 클라우드 서비스를 통해 유출되며, 최신 CHOSEN BRICK 변종은 SOCKS5 프록시를 통해 트래픽을 라우팅해 활동을 은폐합니다.
권고문은 탈취된 데이터가 때때로 친이란 성향의 유출 사이트에 게시돼 괴롭힘의 수단이 되며, 해외 반체제 인사들의 신변 위험을 높인다고 지적합니다.
"이란은 반체제 인사·활동가·언론인처럼 정권에 위협이 되는 것으로 간주되는 개인들을 탄압하기 위해 사이버 활동을 거의 확실히 활용하고 있습니다"라고 정부 기관들은 밝혔습니다.
"일부 사례에서 이란 정보기관은 정권의 적으로 간주하는 해외 거주 개인들을 납치하거나 살해하는 작전을 계획하기도 했습니다."
잠재적 피해자와 조직은 레지스트리 Run 항목에서 수상한 항목이 있는지 점검하고, 권고문에 공유된 침해지표(IoC)를 로그에서 검색해야 합니다.
텔레그램 API, Backblaze B2, VultrObjects, StorjShare, IPRoyal, LightningProxies와의 예상치 못한 연결은 수상한 징후로 보고 조사해야 합니다.
같은 소식, 다른 매체 보도2건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
