사행성 게임 이용자 터는 악성코드

고스톱 등 소위 고포류의 사행성 게임 이용자를 노려 게임 정보를 탈취하는 악성코드를 유포했던 작전이 드러났다. 상대방의 패를 보는 식으로 승부를 조작해서 게임 머니를 버는 것이다. 2016.10월~2017.8월까지 이어진 장기전이었으며, 그동안 굵직한 디도스 및 해킹을 벌여온 북한 해커 단체의 소행으로 추정했다.

안랩은 이 작전을 Operation Red Gambler로 이름 붙였으며, 소프트웨어 공급망 공격과 UAC bypass 같은 고도의 기술을 구사했다.

공급망 공격

공급망 공격이란 소프트웨어가 설치되는 경로를 해킹하여 악성코드를 설치하는 방법이다. 이 작전에서는 VPN, 원격제어, 시스템 최적화 등 몇 개의 유틸리티 소프트웨어 제작사와 PC방 관리 서버를 해킹했다.

유틸리티의 경우에는 공식 홈페이지를 해킹하여, 설치파일을 변조해 악성코드를 삽입하는 방법과, 설치파일 다운로드 링크를 해커의 서버로 변조해서 악성파일을 받도록 하는 방법이 동원됐다.

PC방의 경우에는 관리 서버를 해킹해, 해커의 사이트에서 악성코드를 받아 PC들에 설치하는 방식이었다.

UAC 우회

이용된 악성코드는 UAC(User Account Control, 사용자 계정 콘트롤)를 우회해서 사용자 확인 없이 설치될 수 있었다. UAC는 시스템에 변경을 가할 때는 관리자 권한을 요구하는 것으로, 프로그램 설치시 방패 그림이 달린 경고창이 뜨는 바로 그것이다. 이 악성코드는 레지스트리를 조작해서 UAC를 우회했다.


참고 자료

• ‘사이버판 타짜’ 알고 보니...국가 지원 해커 그룹