사이버 범죄자들이 Ethereum 스마트 계약을 악성 코드 명령을 숨기기 위해 사용하기 시작했습니다. 이는 공격자가 블록체인 기술을 활용하여 탐지 시스템을 회피하는 새로운 도전을 보안팀에게 제기합니다. 디지털 자산 준수 회사인 ReversingLabs는 7월에 Node Package Manager 저장소에 업로드된 두 개의 악성 패키지를 분석한 후 이 기술을 발견했습니다.
이 방법은 해커들이 악의적인 활동을 합법적인 블록체인 트래픽과 혼합할 수 있게 하여, 악성 작업을 식별하고 차단하는 것을 훨씬 더 어렵게 만듭니다.
알아야 할 것:
- "colortoolsv2"와 "mimelib2"라는 두 개의 NPM 패키지가 이더리움 스마트 계약을 사용하여 2단계 악성 코드를 설치하기 전에 악성 서버 주소를 검색했습니다
- 보안 연구원들은 2024년에만 오픈 소스 저장소에 걸쳐 23건의 암호화 관련 악성 캠페인을 문서화했습니다
- 북한과 연계된 라자루스 그룹은 이전에 유사한 블록체인 기반의 악성 코드 배포 방법을 사용한 바 있습니다
블록체인 인프라를 악용한 새로운 배포 방법
ReversingLabs가 확인한 패키지는 합법적으로 보였으나, 이더리움 스마트 계약에서 명령을 가져오도록 설계된 숨겨진 기능이 포함되어 있었습니다. 악성 링크를 직접 호스팅하는 대신 소프트웨어는 명령 및 제어 서버의 주소를 가져오는 다운로더로 작동했습니다.
ReversingLabs의 연구원 루치야 발렌티치는 이더리움 계약에 악성 URL을 호스팅하는 것이 전례 없는 접근법이라고 말했습니다. 발렌티치는 보안 스캔 시스템을 우회하는 방법의 급속한 발전으로 이것을 설명하며, "이는 우리가 이전에 본 적이 없는 것입니다"라고 말했습니다.
이 기술은 블록체인 트래픽이 보안 소프트웨어에 일반적으로 합법적으로 보인다는 점을 활용합니다. 전통적인 탐지 방법은 정상적인 스마트 계약 동작과 악의적인 목적으로 사용되는 것 사이를 구분하기 어렵습니다.
주요 공격 벡터로 작동하는 가짜 트레이딩 봇들
악성 패키지들은 GitHub 저장소를 통해 수행된 광범위한 기만적 캠페인의 일부를 형성했습니다. 공격자들은 가짜 암호화폐 트레이딩 봇 프로젝트를 구성하여, 가짜 커밋 기록, 여러 개의 가짜 메인테이너 계정, 그리고 개발자를 유인하기 위한 전문적인 문서들을 포함시켰습니다.
이러한 저장소들은 신뢰할 수 있는 것으로 보이도록 조작되었으나 악성 코드 설치를 위한 전달 메커니즘으로 작용했습니다. 가짜 프로젝트의 복잡성은 사이버 범죄자들이 신뢰를 확립하기 위해 얼마나 지나치게 노력하는지를 보여줍니다.
보안 분석가들은 블록체인 기반의 명령 저장과 사회적 공학의 결합이 공격 복잡성에서 상당한 고조를 나타낸다고 확인했습니다. 이 접근법은 사이버 보안 팀이 이제 전통적인 공격 벡터뿐만 아니라 블록체인 기반의 통신도 감시해야 하도록 탐지를 상당히 어렵게 만듭니다.
Node Package Manager를 대상으로 한 캠페인은 오픈 소스 개발 커뮤니티에 영향을 미치는 더 큰 추세의 일환을 나타냅니다. 공격자들은 특히 이러한 환경을 겨냥하여 개발자들이 자주 철저한 보안 검토 없이 패키지를 설치하기 때문입니다.
이전의 블록체인 기반 공격은 암호화 프로젝트를 대상으로
이더리움은 악성 코드 배포 목적을 위해 악용되는 유일한 블록체인 네트워크가 아닙니다. 올해 초, 북한과 연계된 라자루스 그룹은 이더리움 계약을 활용하는 악성 코드를 배포했습니다. 그러나 그들만의 구현은 최근의 NPM 공격과 다릅니다.
4월에 공격자들은 Solana 트레이딩 봇 프로젝트를 가장한 사기 GitHub 저장소를 만들었습니다.
가짜 저장소는 피해자의 암호화폐 지갑 자격 증명을 훔치기 위해 설계된 악성 코드를 배포하는데 사용되었습니다.
다른 기록된 경우는 비트코인 개발 작업을 위한 Python 라이브러리인 "Bitcoinlib"와 관련됩니다. 해커들은 유사한 자격 증명 절도 목적으로 이 합법적인 개발 도구를 표적으로 삼았습니다.
이러한 패턴은 사이버 범죄자들이 지속적으로 암호화폐 관련 개발 도구와 오픈 소스 저장소를 대상으로 한다는 것을 보여줍니다. 이러한 환경은 개발자들이 새로운, 낯선 코드 라이브러리와 도구를 자주 사용하는 이유로 인해 공격에 이상적인 조건을 제공합니다.
블록체인 및 스마트 계약 기술 이해
스마트 계약은 이더리움과 같은 블록체인 네트워크에서 실행되는 자동 실행 프로그램입니다. 이는 인간의 개입이나 전통적인 중개자의 감독 없이 사전 정해진 조건을 자동으로 실행합니다.
이러한 계약은 데이터를 블록체인에 영구적으로 저장하므로 전세계 어디서든 접근할 수 있습니다. 블록체인 네트워크의 분산된 특성으로 인해 악성 콘텐츠를 제거하는 것은 매우 어려워집니다.
명령 및 제어 서버는 사이버 범죄자들이 감염된 장치와 통신하는 데 사용하는 컴퓨터 시스템입니다. 공격자는 서버 주소를 블록체인 네트워크에 저장함으로써 보안 팀이 중단하거나 모니터링하기 어려운 통신 채널을 만듭니다.
마무리 생각
이더리움 스마트 계약에 숨겨진 악성 코드 명령의 발견은 사이버 범죄 전술의 중요한 발전을 나타내며, 공격자들이 블록체인 기술을 점점 더 활용하여 탐지 시스템을 회피합니다. 발렌티치는 사이버 범죄자들이 끊임없이 보안 방어를 우회할 새로운 방법을 모색하고 있으며, 블록체인 기반 명령 저장이 사이버 안전 조치에 선행하는 그들의 최신 혁신을 대표한다고 강조했습니다.