입력 정보 탈취하는 MageCart 악성코드
Feedify 해킹으로 공급망 공격
고객사 웹 사이트에 실시간 알림 기능을 제공하는 피디파이가 해킹 당했다. 피디파이는 알림 기능을 자바 스크립트로 제공하는데, 고객사는 그 코드를 자신의 웹 사이트에 삽입한다. 피디파이의 스크립트가 메이지카트라는 정보탈취 악성코드에 감염됐는데, 결국 이를 이용하는 고객사 사이트 역시 감염됐다는 얘기다. 피디파이의 고객사는 주로 전자상거래 사이트로 4천 개가 넘는다.MageCart라는 이름은 원래 웹이나 ATM에서 금융정보를 비롯한 개인정보를 탈취하는 것을 주로 하는 해커단의 이름인데, 이들이 사용하는 악성코드를 통칭해서 메이지카트라고 부르기도 한다. 메이지카트는 자바 스크립트로, 기기에 저장된 정보를 탈취하는 것이 아니라, 웹 페이지의 form 등에 입력하는 카드번호 등 개인정보를 가로채는 scraping 스크립트다. 표적에 따라 최적화(customized)되어 사용된다.
피디파이에 대한 공격은 Placebo라는 트위터 이용자에 의해 발견됐는데, 그의 제보로 바로 삭제됐다. 그러나 피디파이 내의 다른 스크립트에 여전히 남아있는 것이 발견됐다. 이것은 알아보기 어렵도록 난독화되어(obfuscated) 정상 스크립트에 삽입되어 있었다.
British Airways 해킹
메이지카트는 며칠 전에 있었던 영국의 항공사 BA 해킹에서도 발견됐다. 정상적인 스크립트의 끝부분에 덧붙여져 있었으며, 이로 인해 38만 명 가량의 카드정보와 개인정보가 유출됐다. 마찬가지로 스크래핑 악성코드이기 때문에, BA에 저장된 고객 정보는 영향을 받지 않았으며, 메이지카트가 활성화된 동안에 감염된 페이지에 입력한 정보가 탈취됐다.RiskIQ라는 보안회사는 2016년부터 메이지카트의 활동을 감시해 왔는데, 매 시간마다 탐지될 정도로 사방에 널려 있다. 이들은 피디파이의 예처럼, 다른 사이트들에 널리 이용되는 구성 요소를 감염시킴으로써 한 번의 해킹으로 여러 사이트를 감염시키는 작전을 구사하기 때문이다. 공급망 공격(supply-chain attack)으로 볼 수 있다.
참고 자료
댓글
댓글 쓰기