CookieMiner, 쿠키와 가상화폐 노리는 악성코드

2단계 인증 우회

브라우저에 저장된 쿠키와 로그인 정보를 훔쳐 가상화폐를 탈취하는 신종 악성코드가 발견됐다. Palo Alto Networks가 발견해서 쿠키마이너라고 불렀다. Mac에서 작동하는 것이지만, 동작 방식은 Windows 사용자도 참고할 만하다.

쿠키마이너는 브라우저의 cookies를 노린다. 대부분의 가상화폐 사이트들이 2단계 인증을 요구하기 때문에, 암호만으로는 로그인하기 어렵다.

암호와 함께 혹은 암호 없이도, 로그인 자격을 증명하는 토큰인 세션 쿠키(인증 쿠키)를 탈취하면 2단계 인증을 거치지 않고 로그인할 수도 있다. 물론 해당 사이트의 로그인 및 2단계 인증 시행 정책에 따라 성패가 갈린다.

쿠키 탈취

쿠키마이너는 크롬과 사파리 브라우저의 쿠키를 탈취한다. Binance, Coinbase, MyEtherWallet 등 가상화폐 관련 사이트와 블록체인 관련 사이트의 쿠키가 주된 표적이다. 이런 쿠키들이 발견되면, 새로운 폴더를 만들어 복사한 다음, 해커의 서버로 전송한다.

저장된 암호 탈취

크롬의 로컬 저장소에 저장된 사이트 암호, 신용카드 정보를 탈취한다. 로컬 저장소란 기기에 파일 형태로 저장한 곳을 말한다. 동기화되는 온라인 저장소인 passwords.google.com과 대비되는 개념이다.

기기에 저장된 암호와 신용카드 정보는 암호화돼 있기 때문에, 이를 추출하려면 decrypt를 해야 한다. 복호화 기술은 Google Chromium project의 것을 사용했다.

가상화폐 지갑 탈취

가상화폐 지갑에 관련된 파일들의 경로(위치)를 수집하여, 해커의 C2 서버로 전송한다. 이 정보는 후에 해커의 지시에 따라 특정 파일을 서버로 업로드하는 데 이용된다. 대개 파일로 저장된 개인 키가 목표물이다.

아이튠즈를 통해 아이폰을 Mac pc에 백업한 경우, 저장된 SMS도 탈취한다.

크립토재킹

쿠키마이너는 자체적으로 Koto라는 가상화폐를 채굴하는 기능도 갖고 있다.

원격 제어

추가로 EmPyre라는 원격제어 툴을 다운로드한다. 사실상 피해자의 PC를 완전히 장악하는 것이다.
엠파이어는 암호화된 통신 기능을 갖고 있어, 네트워크 보안 소프트웨어의 검색이 어렵다. 또한 유연한 구조로 되어 있어 쉽게 기능을 확장할 수 있다.


참고 자료

• Mac Malware Steals Cryptocurrency Exchanges’ Cookies