아직 출시되지 않은 게임 'GTA 6'의 불법 다운로드를 미끼로 악성 프로그램 꾸러미를 배포하는 공격이 발견됐습니다. 보안 기업 Huntress가 분석한 결과, 해당 파일 안에는 원격 제어 도구(RAT), 정보 탈취 악성코드, 파괴형 랜섬웨어 등 여러 종류의 악성 프로그램이 한꺼번에 포함돼 있었습니다. 설치 과정에서 가짜 오류 메시지로 사용자를 속이는 동안, 백그라운드에서 악성 프로그램이 자동으로 설치되는 방식입니다. 특히 랜섬웨어 기능은 금전 요구보다는 파일 완전 파괴(와이퍼)를 목적으로 활용되고 있어 피해가 심각할 수 있습니다. 최신 Windows Defender로 탐지가 가능하며, 미출시 게임의 불법 다운로드는 절대 시도하지 말 것을 권고합니다.
출시 전인 GTA 6를 사칭한 가짜 ISO 파일이 유포되어, 설치 시 NJRAT·DCRAT(원격 제어 도구), Mercurial Grabber(정보 탈취), Chaos 랜섬웨어(와이퍼) 등 복합 악성코드가 동시에 설치된다.
공격자가 감염 시스템을 원격 제어하고, Discord·Chrome·암호화폐 지갑 등의 자격증명을 탈취하며, 200MB 이하 파일은 암호화, 대용량 파일은 무작위 덮어쓰기로 복구 불가 파괴가 발생한다. 섀도 복사본(백업)도 삭제된다.
미출시 인기 게임의 불법 선행 다운로드를 원하는 사용자 심리를 이용한 소셜 엔지니어링 공격이며, 2023년산 기존 악성코드를 재활용한 기회주의적 캠페인이다.
최신 Windows Defender로 탐지·차단 가능. 피해 예방을 위해 미출시 게임의 불법 복사본 다운로드를 즉시 중단하고, 엔드포인트 보안 솔루션을 최신 상태로 유지해야 한다.
직원 대상 보안 인식 교육 시 '미출시 소프트웨어 불법 다운로드' 위험성을 명시적으로 포함하고, 업무 외 불법 소프트웨어 설치를 차단하는 정책과 기술적 통제를 점검해야 한다.
본문
Grand Theft Auto VI(GTA 6)의 출시까지 아직 세 달이 남았지만, 사이버 범죄자들은 출시일을 기다리지 않고 있습니다. 보안 기업 Huntress는 게임을 일찍 손에 넣으려는 팬들을 노려 유출된 게임 복사본으로 위장한 악성코드를 발견했습니다.
Huntress가 분석한 샘플에는 여러 종류의 악성코드 구성 요소가 포함돼 있었습니다. 연구진은 이를 기회주의적 꾸러미로 묘사하며, "설치를 시도하는 사용자에게 닥치는 대로 모든 것을 던진다"고 표현했습니다. 이 패키지에는 가짜 설치 프로그램, 여러 개의 RAT(원격 접근 트로이목마), 인포스틸러(정보 탈취 악성코드), 와이퍼로 활용되는 랜섬웨어, 그리고 웹 브라우저가 포함돼 있습니다.
가짜 설치 프로그램이 페이로드를 숨기다
ISO 파일을 열면 메인 설치 파일인 gta6installer.exe가 나타나며, 아이콘은 여전히 GTA5의 것을 사용하고 있습니다. 실행하면 러시아어로 된 메시지가 표시되는데, "라이선스를 찾을 수 없음" 오류로 설치가 실패할 수 있다고 경고하고 문제 해결을 위한 이메일 주소를 안내합니다.
가짜 GTA6 설치 프로그램에 포함된 메시지 (출처: Huntress)
설치가 완료되면 스크립트가 실행되어 정확히 그 오류 메시지를 표시하고, 게임이 실행되지 않는 그럴듯한 이유를 사용자에게 제공합니다. 그 사이 실제 페이로드는 백그라운드에서 설치됩니다.
Huntress는 설치 프로그램에 기재된 이메일 주소로 연락을 취해 누가 응답하는지 확인하려 했으나, 기사 작성 시점까지 답변을 받지 못했습니다.
"ISO에 포함된 악성코드는 상당히 오래된 것으로, 많은 파일이 2023년으로 거슬러 올라가며 이번 기회주의적 공격에 재활용된 것으로 보입니다. 설치를 진행하면 여러 파일이 시스템의 %TEMP% 폴더에 추가되는데, 다수가 의심을 피하기 위해 GTA6 브랜딩으로 위장돼 있습니다"라고 연구진은 기록했습니다.
"checkinternetconnection.bat 파일은 Microsoft Edge를 실행하여 https://clck[.]ru/34uJnp에 접속한 뒤 인터넷 연결을 확인하고, 이후 다양한 악성코드 구성 요소를 압축 해제하여 설치합니다."
RAT, 인포스틸러, 그리고 파괴적인 랜섬웨어
가장 먼저 여러 개의 NJRAT가 등장합니다. 이를 통해 공격자는 셸 접근, 키로깅, 카메라 접근, 브라우저 자격증명 탈취, 파일 업로드·다운로드, 파일 및 레지스트리 제어, 실시간 데스크톱 보기와 스크린샷, 그리고 암호화폐 지갑 정보 접근 등의 권한을 얻습니다.
함께 포함된 DCRAT는 공격자에게 마우스 제어, 스크린샷 캡처, 클립보드 접근, 레지스트리 읽기·쓰기 권한, 오디오 장치 탐지, 창(window) 추적 기능을 제공합니다. DCRAT는 또한 Windows hosts 파일을 변조하여 안티바이러스 텔레메트리가 보안 벤더에 전송되는 것을 차단합니다.
인포스틸러도 포함돼 있는데, GitHub에서 "교육 목적 전용" 라벨로 무료 공개된 Mercurial Grabber라는 도구입니다. 이 도구는 Discord 토큰, Chrome 비밀번호와 쿠키, Roblox 및 Minecraft 세션 데이터, Windows 제품 키, 스크린샷을 수집한 뒤 Discord 웹훅을 통해 모든 정보를 외부로 전송합니다.
가장 큰 피해를 주는 것은 Chaos 랜섬웨어 변종입니다. "기술적으로는 잘 알려진 랜섬웨어 패밀리이지만, 공격자들은 감염 사용자로부터 몸값을 받으려는 것이 아닌 것으로 보입니다. 대신 파일을 암호화하거나 파괴하여 사실상 랜섬웨어를 와이퍼로 활용하고 있습니다"라고 연구진은 밝혔습니다.
200MB 이하의 파일은 암호화하고, 그보다 큰 파일은 무작위 데이터로 덮어써 완전히 파괴합니다. 섀도 복사본 백업은 삭제되고 Windows 복구 옵션은 비활성화되며, 바탕화면 배경화면이 스폰지밥 이미지로 교체되고 "ASHA Hacker Team"이 해킹했다는 메시지가 표시됩니다.
랜섬 노트에는 "안녕하세요, 당신의 파일은 achvz1om에 의해 암호화되었습니다. 페이팔이나 다른 은행 계좌가 없으니 기부도 받지 않겠습니다. 당신의 파일은 영원히 암호화되었습니다"라고 적혀 있습니다.
마지막으로 설치 프로그램은 Yandex Browser 사본을 설치하는데, Huntress는 그 이유를 딱히 파악하지 못했습니다. 전반에 걸친 러시아어 메시지와 결합하면, 러시아어 사용자가 주요 표적 중 하나일 가능성이 시사됩니다.
Windows Defender로 악성코드 탐지 가능
연구진에 따르면 다행히 이 ISO에는 특별히 새로운 것이 없습니다. 포함된 악성코드는 수년이 지난 것들이며, 최신 상태의 Windows Defender라면 이를 탐지하고 시스템 침해를 막는 데 어려움이 없을 것입니다.
"일반적으로 크랙되거나 불법 복제된 소프트웨어를 다운로드하려는 시도는 권장되지 않습니다. 특히 아직 출시되지 않은 게임이라면 더욱 그렇습니다. 이는 조급하고 열성적인 사용자들을 이용하려는 사기꾼과 위협 행위자들에게 비옥한 토양이 됩니다"라고 Huntress는 결론지었습니다.
