"딥웹서 은닉 악성코드 횡행…수법 분석해 위협 사전 차단해야"

(공정경제) 박래열 기자 = 딥웹 탐지 전문업체 포테이토넷은 딥웹을 악용해 악성코드가 배포되고 있다면서 악성 딥웹 사례 분석 결과를 최근 공개했다.

악성코드는 이제 IT 전문가의 전유물이 아니다. 프로그래밍 초보자도 몇 가지 도구만 있으면 손쉽게 악성코드를 만들고 유포할 수 있다. 사이버 범죄가 점점 더 대중화되면서, 그 규모와 영향력도 기하급수적으로 커지고 있다.

수많은 악성코드는 딥웹에서 발견할 수 있다.

딥웹은 일반적인 검색 엔진으로는 접근할 수 없는 웹의 숨겨진 영역을 뜻하며, 다크웹과는 구분된다. 달리 사이버공격에 악용되는 악성 딥웹은 다크웹과 달리 일반적인 방법으로 웹브라우저를 통해 접근할 수 있으므로 사용자가 클릭만으로 악성코드를 다운로드할 수 있다.

악의적인 공격자들은 딥웹을 악용해 악성코드를 배포하고 있다. 은닉된 악성코드는 보통 겉으로 드러나지 않으며, 일반적인 정상 웹사이트와 연결된 링크를 통해서는 발견할 수 없다.

포테이토넷은 이 같은 사실을 확인하고자 최근 악성 딥웹 사례를 분석했다.

첫째로 분석한 악성 딥웹 사이트는 'https://e***s.ro'다.

해당 웹사이트에 접속하면 콘텐츠가 없는 빈페이지가 출력된다. 그러나 소스코드에는 설문조사로 위장한 피싱사이트 링크가 다수 포함돼 있다. display:none 설정을 통해 피싱 링크가 표시되지 않도록 숨겨놨다. 이러한 피싱 링크는 나타났다 사라지기를 반복하며 어느 순간 피싱 링크가 활성화된다.

빈 페이지로 위장한 웹사이트에는 딥웹 악성코드가 존재했다. 사용자에게 전달된 URL에는 악성코드가 자동으로 다운로드된다. 다운로드된 'ord.exe'이나 'kin.exe' 등에서 악성코드 분석 결과, 사용자 PC에서 권한 상승을 시도하며 PC 세부정보와 같은 민감한 데이터를 탈취했다. 이렇게 수집된 정보를 이용해 시스템을 제어하는 트로이목마(Trojan/Win32.Formbook) 유형이다.

다음으로 분석한 악성 딥웹사이트는 'https://file*****.vercel.app'다.

해당 웹사이트는 Vercel이라는 호스팅 서비스를 이용해 웹사이트를 운영하고 있다. 메인페이지에는 웹페이지를 출력할 수 없다는 '404 에러'가 나타나는 등 사이트 내부 컨텐츠를 확인할 수 없다.

해당 웹사이트의 딥웹에는 'windows.exe' 악성코드가 있었고, 이 악성코드는 악성 페이로드를 실행하며, 난독화 및 사용자 활동 감지를 통해 안티바이러스 탐지를 우회한다. 또한 PC 세부 정보를 수집해 민감한 데이터를 탈취했다. 암호화된 채널을 통해 명령을 전달받아 시스템을 제어하는 트로이목마(trojan/lummastealer) 유형이다.

해당 악성코드는 vercel의 무료 호스팅 서비스를 악용한 것으로 판단된다. 무료 호스팅 서비스는 비용 부담 없이 여러 IP 주소와 다양한 위치에서 공격을 지속할 수 있는 환경을 제공한다. 따라서 철저한 신원 확인을 요구하지 않는 호스팅 서비스의 경우, 공격자는 익명성을 유지하며 악성코드를 배포할 수 있다.

분석한 두 웹사이트는 딥웹 악성코드 유포지로, C&C 서버로도 악용할 가능성이 있다.

포테이토넷은 "딥웹은 일반 웹처럼 쉽게 추적하기 어렵기 때문에, 악성코드 탐지 및 차단이 훨씬 어렵다. 위 분석 사례처럼 딥웹에 숨겨진 악성코드를 추적하고 차단하기 위해선 정교한 보안 전략과 면밀한 주의가 필요하다. 보안 전문가들은 딥웹에 숨겨진 악성코드에 대해 지속적인 감시와 대응책을 마련해야 한다. 악성코드가 은밀하게 배포되는 새로운 경로를 주시하고, 딥웹에서 활동하는 공격자들의 패턴을 분석하는 것이 중요하다. 보안 강화와 예방 조치를 통해 이러한 위협을 사전에 차단하는 것이 필수적"이라고 말했다.