가짜 Zoom 회의 피싱 사건이 빈번하게 발생합니다. 자금 안전을 어떻게 보장할 수 있을까요?
원제목: "보는 것이 믿는 것이 아니다 | 가짜 줌 회의 피싱 분석"
원출처: SlowMist Technology
편집자 주: 최근 암호화폐 시장에서 가짜 줌 회의 링크를 이용한 피싱 사건이 다시 증가하고 있습니다. 먼저, 유레카트레이딩(EurekaTrading)의 설립자 콴 쑨(Kuan Sun)은 가짜 회의 초대를 믿고 악성 플러그인을 설치하여 1,300만 달러 규모의 피싱 공격을 감행했습니다. 다행히 비너스 프로토콜은 운영을 긴급 중단했고, 여러 보안팀의 도움으로 자금은 성공적으로 회수되었습니다.
9월 8일, 암호화폐 거래 커뮤니티 포춘 콜렉티브(Fortune Collective)의 설립자인 알렉산더 최(Alexander Choi)는 플랫폼 X에서 개인 메시지를 통해 가짜 프로젝트에 접촉했다는 사실을 폭로하는 게시물을 올렸습니다. 대화 중 그는 실수로 회의로 위장한 사기성 링크를 클릭했고, 이로 인해 거의 100만 달러에 달하는 손실을 입었습니다.
가짜 줌 회의 피싱 공격은 왜 그토록 성공적일까요? 투자자들은 어떻게 이를 방지할 수 있을까요? 업계 유명 보안 업체인 슬로우미스트(SlowMist)는 2024년 12월 27일, 모든 사람에게 자금을 보호할 것을 당부하는 이 글을 게시했습니다. 원문은 다음과 같습니다.
배경
최근, X의 여러 사용자가 줌 회의 링크로 위장한 피싱 공격을 신고했습니다. 한 피해자가 악성 Zoom 회의 링크를 클릭한 후 악성코드를 설치하여 암호화폐 자산을 도난당했고, 피해액은 수백만 달러에 달했습니다. 이와 관련하여 SlowMist 보안팀은 이 피싱 사건과 공격 방식을 분석하고 해커의 자금 흐름을 추적했습니다.
(https://x.com/lsp8940/status/1871350801270296709)
피싱 링크 분석
해커는 "app[.]us4zoom[.]us"와 같은 도메인 이름을 사용하여 합법적인 Zoom 회의 링크로 위장했습니다. 해당 페이지는 실제 Zoom 회의와 매우 유사했습니다. 사용자가 "회의 시작" 버튼을 클릭하면 로컬 Zoom 클라이언트를 실행하는 대신 악성 설치 패키지가 다운로드되었습니다.
위에서 언급한 도메인을 조사한 결과, 해커의 모니터링 로그 주소(https[:]//app[.]us4zoom[.]us/error_log)를 발견했습니다.
복호화 결과, 러시아어로 작성된 Telegram API를 통해 메시지를 전송하려는 스크립트의 로그 항목인 것으로 밝혀졌습니다.
이 사이트는 27일 전에 구축되었습니다. 러시아인으로 추정되는 해커들은 11월 14일부터 피해자들을 표적으로 삼아 Telegram API를 모니터링하여 피싱 페이지에서 다운로드 버튼을 클릭한 사람이 있는지 확인했습니다.
맬웨어 분석
악성 설치 패키지의 이름은 "ZoomApp_v.3.14.dmg"입니다. 다음은 Zoom 피싱 소프트웨어가 표시하는 인터페이스로, 사용자를 속여 터미널에서 "ZoomApp.file"이라는 악성 스크립트를 실행하도록 유도하고 로컬 비밀번호를 입력하도록 유도합니다.
다음은 악성 파일의 실행 내용입니다.
위 내용을 복호화한 결과, 악성 osascript 스크립트인 것으로 확인되었습니다.
추가 분석 결과, 이 스크립트는 ".ZoomApp"이라는 숨겨진 실행 파일을 검색하여 로컬에서 실행하는 것으로 나타났습니다. 원본 설치 패키지인 "ZoomApp_v.3.14.dmg"의 디스크 분석 결과, 설치 패키지에 실제로 ".ZoomApp"이라는 숨겨진 실행 파일이 포함되어 있는 것으로 나타났습니다.
악의적 동작 분석
정적 분석
분석을 위해 바이너리 파일을 위협 인텔리전스 플랫폼에 업로드한 결과, 악성으로 표시된 것을 확인했습니다.
(https://www.virustotal.com/gui/file/e4b6285e183dd5e1c4e9eaf30cec886fd15293205e706855a48b30c890cbf5f2)
아래 그림은 정적 디스어셈블리 분석을 통해 데이터 복호화 및 스크립트 실행에 사용되는 바이너리 파일의 진입 코드를 보여줍니다.
다음 그림은 대부분의 정보가 암호화 및 인코딩된 데이터 부분을 보여줍니다.
데이터를 복호화한 결과, 바이너리 파일이 악성 osascript 스크립트를 실행한 것으로 밝혀졌습니다(전체 복호화 코드는 https://pastebin.com/qRYQ44xa에서 공유됨). 이 스크립트는 사용자 기기에서 정보를 수집하여 백엔드로 전송합니다.
다음 그림은 다양한 플러그인의 ID 경로 정보를 열거하는 코드의 일부를 보여줍니다.
다음 그림은 컴퓨터의 KeyChain 정보를 읽는 코드의 일부를 보여줍니다. 악성 코드는 시스템 정보, 브라우저 데이터, 암호화된 지갑 데이터, 텔레그램 데이터, 노트 데이터, 쿠키 데이터를 수집한 후, 이를 압축하여 해커가 제어하는 서버(141.98.9.20)로 전송합니다. 이 악성 프로그램은 실행 시 사용자가 비밀번호를 입력하도록 유도하고, 이후 악성 스크립트가 컴퓨터에서 키체인 데이터(컴퓨터에 저장된 다양한 비밀번호가 포함될 수 있음)를 수집하기 때문에, 해커는 이 데이터를 복호화하여 사용자의 지갑 니모닉 및 개인 키와 같은 민감한 정보를 획득하고 자산을 훔치려 합니다. 분석 결과, 해커 서버의 IP 주소는 네덜란드에 있으며 위협 인텔리전스 플랫폼에서 악성으로 분류되었습니다.
(https://www.virustotal.com/gui/ip-address/141.98.9.20)
동적 분석
가상 환경에서 악성 프로그램을 동적으로 실행하고 프로세스를 분석합니다. 다음 그림은 악성 프로그램이 로컬 데이터를 수집하고 백그라운드 프로세스로 데이터를 전송하는 모니터링 정보를 보여줍니다.
MistTrack 분석
이 주소(0xb01c)에서 전송 객체 중 악성으로 표시된 주소를 필터링한 결과, 두 개의 피싱 주소가 발견되었으며, 그중 하나는 Pink Drainer로 표시되어 있었습니다. 이 두 피싱 주소에 대한 추가 분석 결과, 자금은 주로 ChangeNOW와 MEXC로 이체되었습니다.
이어서 도난 자금 유출을 분석한 결과, 총 296.45 ETH가 새 주소 0xdfe7c22a382600dcffdde2c51aaa73d788ebae95로 이체되었습니다.
새로운 주소(0xdfe7)의 첫 번째 거래 시간은 2023년 7월이었으며, 여러 체인이 관련되었고 현재 잔액은 32.81 ETH입니다.
새로운 주소(0xdfe7)의 주요 ETH 출금 경로는 다음과 같습니다.
· 200.79 ETH -> 0x19e0…5c98f
· 63.03 ETH -> 0x41a2…9c0b
· 8.44 ETH -> 15,720 USDT로 교환됨
· 14.39 ETH -> Gate.io
위의 확장된 주소에서 이후 출금된 내용은 Bybit, Cryptomus.com, Swapspace, Gate.io, MEXC 등 여러 플랫폼과 연결되어 있으며, MistTrack에서 Angel Drainer 및 Theft로 표시된 플랫폼과도 연결되어 있습니다. 또한 현재 0x3624169dfeeead9f3234c0ccd38c3b97cecafd01 주소에 99.96 ETH가 보관되어 있습니다.새 주소(0xdfe7)에는 수많은 USDT 거래 흔적이 있으며, USDT는 바이낸스, MEXC, FixedFloat 등의 플랫폼으로 이체되었습니다. 여기에 설명된 피싱 수법은 해커가 합법적인 Zoom 회의 링크로 위장하여 사용자를 속여 악성 코드를 다운로드하고 실행하도록 유도하는 것입니다. 이 악성 코드는 일반적으로 시스템 정보 수집, 브라우저 데이터 도용, 암호화폐 지갑 정보 획득 등 여러 가지 파괴적인 기능을 갖추고 있으며, 이를 해커가 제어하는 서버로 전송합니다. 이러한 유형의 공격은 종종 소셜 엔지니어링 공격과 트로이 목마 공격을 결합하기 때문에 부주의한 사용자는 쉽게 공격 대상이 될 수 있습니다. SlowMist 보안팀은 사용자가 회의 링크를 클릭하기 전에 신중하게 확인하고, 출처를 알 수 없는 소프트웨어 및 명령어 실행을 자제하며, 바이러스 백신 소프트웨어를 설치하고 정기적으로 업데이트할 것을 권장합니다. 보안에 대한 더 자세한 내용을 알고 싶으시다면 SlowMist 보안팀에서 제작한 "블록체인 다크 포레스트 셀프가드 핸드북"을 읽어보시기 바랍니다: https://github.com/slowmist/Blockchain-dark-forest-selfguard-handbook/blob/main/README_CN.md.
BlockBeats 공식 커뮤니티에 참여하세요:
Telegram 구독 그룹：https://t.me/theblockbeats
Telegram 토론 그룹：https://t.me/BlockBeats_App
Twitter 공식 계정：https://twitter.com/BlockBeatsAsia
관련 기사
