오를땐 '채굴' 내릴땐 '랜섬웨어'… 뛰는 가상통화 위에 나는 해커들

김현정디자이너

국내 가상통화 투기 열풍과 정부 규제 움직임 등으로 혼란스러운 분위기를 틈타 투자자들을 겨냥한 사이버 공격이 기승을 부리고 있다. 국내 가상통화 가격 등락에 따라 공격 방식을 달리하는가 하면 해외로 이전하는 투자자들을 노린 피싱 사이트가 발견되기도 했다.


12일 보안업계에 따르면 한번 감염되면 PC 속 5700여개 확장자 파일을 암호화하는 ‘헤르메스(Hermes)’ 악성코드가 등장하는 등 한동안 소강상태를 보이던 랜섬웨어 공격이 다시 기승을 부리고 있다. 랜섬웨어(Ransomware)란 개인정보 혹은 파일을 암호화한 뒤 이를 풀어주는 조건으로 비트코인을 요구하는 악성코드 공격을 말한다.

보안 전문가들 사이에서는 최근 랜섬웨어 공격이 재개된 것은 가상통화 시세 등락과 관련됐다는 분석을 내놓고 있다. 정부의 규제 움직임이 가시화되고 가상통화 시세 상승 폭이 종전에 비해 둔화되면서 사이버 공격을 통해 추세를 전환할 필요가 있었다는 해석이다. 통상 랜섬웨어 공격에 따른 피해가 확산되면 해커들이 요구하는 대로 비트코인 수요가 발생하면서 가상통화 가격이 오르곤 했다.

반대로 가상통화 가격이 급상승할 때는 랜섬웨어 대신 채굴 악성코드 유포가 활발해지는 경향을 보였다. 채굴 악성코드는 불특정 다수의 PC를 감염시켜 비트코인을 채굴하는 자원으로 악용하는 사이버 공격 방식이다. 최상명 하우리 침해사고대응팀(CERT) 실장은 “가상통화 가격이 오를 때에는 랜섬웨어보다 채굴 악성코드를 돌려 통화를 빨리 손에 넣는 것이 경제적”이라며 통화 시세와 공격방식간 상관관계가 있을 것으로 추정했다.

실제 1비트코인 가격이 2000만원까지 치솟던 지난해 12월 중순 당시 해커들은 채굴 악성코드를 집중적으로 유포했다. 수만대의 PC가 가상통화 채굴에 활용된 것으로 알려졌다. 중국에서는 현지 보안업체가 윈도 정품 인증 툴을 내려받는 홈페이지에 가상화폐 채굴 악성코드를 숨겨 유포한 정황이 포착되기도 했다.


채굴 악성코드의 경우 감염 여부를 알아차리기 어렵다는 게 문제다. 해커들은 주로 보안이 취약한 파일 공유 사이트를 통해 악성코드를 유포한다. 프로그램이 PC에 깔려도 백그라운드에 잠식해서 채굴 활동을 하기 때문에 중앙처리장치(CPU) 처리 속도가 현저히 느려질 수 있지만 전문가가 아닌 이상 악성코드 감염 여부를 확인하기 쉽지 않다.

이스트시큐리티 관계자는 “최근에는 가상통화 급등락이 워낙 심해 랜섬웨어와 악성코드 유포를 동시다발적으로 진행하는 경향도 있다”고 말했다.

한편, 발 빠른 공격자들은 우리 정부의 가상통화 규제로 해외 거래소로 이동해 가는 이용자를 노리기 시작했다. 구글 검색 광고를 가장해 해외 거래소 사이트와 비슷한 주소로 거짓 사이트를 올리고 이를 방문하는 이용자들의 계좌 정보를 빼내는 피싱사이트가 최근 발견됐다.

구글 사이트를 신뢰하는 이용자들이 검색 후 별다른 의심 없이 사이트에 접속한다는 점을 악용한 사례로, 주의를 기울이지 않으면 피해 사례가 속출할 것이란 우려가 나온다.