호텔 와이파이 노린 러시아 해커, 가짜 업데이트로 감시 악성코드 유포 작성일 08-04 28 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="7vU6xdJ6Dw"> <p contents-hash="1a6bd51370c2bce8c77cc913324f63c4ef5ef465dc780485aa07524d1671cebc" dmcf-pid="zTuPMJiPsD" dmcf-ptype="general"><strong>호텔 와이파이 장악과 가짜 업데이트 악성코드 유포<br>러시아 연계 스톰-2945의 캡티브크런치 공격 캠페인<br>DNS 조작·기기 코드 인증 악용과 공용 와이파이 보안 경고</strong></p> <p contents-hash="67edee98149cd5962e3b976d81a19ef1995ceb27bd182e4441453c88d97f5a66" dmcf-pid="qy7QRinQmE" dmcf-ptype="general">[보안뉴스 김형근 기자] 호텔 와이파이를 무단 장악한 러시아 해커들이 가짜 브라우저 업데이트를 통해 원격제어 악성코드(RAT) ‘콘플레이크’(CornFlake)를 유포한 것으로 나타났다.</p> <figure class="figure_frm origin_fig" contents-hash="bb98149af67572daf3e52f64bddf85a3975acdd0e1a99808d17d030c28dd7824" dmcf-pid="B38gjEDgwk" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/04/552815-KkymUii/20260804174441239kpzd.jpg" data-org-width="1000" dmcf-mid="uzeErICEwr" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/04/552815-KkymUii/20260804174441239kpzd.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> [출처: gettyimagesbank] </figcaption> </figure> <div contents-hash="25011df3ac81b6bf626a809f4b9a5961194664806d132cd11e651879f89b7a70" dmcf-pid="b06aADwaEc" dmcf-ptype="general"> <br>마이크로소프트(Microsoft)는 이번 공격 캠페인을 ‘캡티브크런치’(CaptiveCrunch)로 추적하고 있으며, 배후로 러시아 해외정보국(SVR) 연계 해킹 조직인 스톰-2945(Storm-2945)를 지목했다. </div> <p contents-hash="eda011a24d47ed253c5da73ec9bd2d344d0696ccadafdc6f315309399d5b10c4" dmcf-pid="KpPNcwrNIA" dmcf-ptype="general">공격자들은 호텔 와이파이의 캡티브 포털 게이트웨이 관리자 권한을 탈취한 뒤, 도메인 네임 시스템(DNS) 응답을 위조해 사용자의 인터넷 연결 확인 트래픽을 가짜 브라우저 또는 운영체제(OS) 업데이트 페이지로 우회시켰다.</p> <p contents-hash="1804861d52c38dd0204e886dce42a1597eb496776ba41495ed0c23d80726bd5f" dmcf-pid="9UQjkrmjIj" dmcf-ptype="general">일부 페이지에서는 사용자가 직접 명령어를 실행하도록 유도하는 클릭픽스(ClickFix) 기법이 사용됐으며, 최근에는 마이크로소프트의 기기 코드 인증 절차를 악용하는 방식도 확인됐다. 유포된 콘플레이크는 웹캠 촬영과 마이크 녹음, 키 입력 탈취는 물론 브라우저 쿠키와 저장된 비밀번호 수집, 스크린샷 촬영, 원격 셸 실행 등 다양한 감시 기능을 수행한다.</p> <p contents-hash="4897ae4d07237382f88f25f6be322223fece632e983e5201623bb4c06ce50105" dmcf-pid="2uxAEmsAsN" dmcf-ptype="general">연구진은 메모리에서 동작하는 파워셸 기반 정보 탈취 도구 ‘초코셸’(ChocoShell)도 함께 확인했다. 이 악성코드는 마이크로소프트 365와 애저 액티브 디렉터리(Azure Active Directory) 접근 토큰 등을 탈취해 추가 인증 없이 정상 세션을 재현할 수 있다.</p> <p contents-hash="fd368e252817b86e12fca87437f33c27ade081e4bab43db157c1419685b6fba7" dmcf-pid="V7McDsOcOa" dmcf-ptype="general">마이크로소프트는 여러 국가의 호텔 네트워크에서 동일한 트래픽 조작을 확인했으며, 피해 네트워크에서 공통 장비와 관리 시스템이 사용된 정황을 포착했다. 다만 피해 호텔이나 캡티브 포털 공급업체는 공개하지 않았다.</p> <p contents-hash="ef017a518a2bec066efc7de4876bf805643231c1be5cafa9a7207174ccb8cea2" dmcf-pid="fzRkwOIkwg" dmcf-ptype="general">사이버 위협 분석 기업 릴라이아퀘스트(ReliaQuest)는 공격 방식이 러시아 GRU 연계 조직 APT28과 유사한 전술·기술·절차(TTP)를 보였다고 분석했다. 다만 직접적인 기술적 연관성이 확인되지 않은 만큼 공식적인 배후 지목에는 신중한 입장을 유지했다.</p> <p contents-hash="07422b2d496089c8a4232eb0b77f8304877f8288828d8615f7a520cae91076d8" dmcf-pid="4qeErICEro" dmcf-ptype="general">최초 침투 경로는 아직 조사 중이지만, 노출된 관리 인터페이스와 취약하거나 재사용된 관리자 계정 정보가 악용됐을 가능성이 제기되고 있다.</p> <p contents-hash="f8dd4b27f06d67b57de3dff640abc3be2329b83c43d8b7d6f7e3f65f237553d7" dmcf-pid="8BdDmChDsL" dmcf-ptype="general">보안 전문가들은 공용 와이파이 이용 시 캡티브 포털이 제공하는 브라우저나 운영체제 업데이트, 인증서 설치, 문제 해결 도구 등의 실행을 피하고, DNS 요청까지 암호화하는 풀터널 VPN을 상시 사용하는 것이 바람직하다고 권고했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 ‘답하는 AI’ 넘어 ‘일하는 AI’로…SKT A.X K2, 산업 현장 정조준 08-04 다음 [위클리AI] "실험 넘어 현장으로" 앤트로픽·xAI·구글, AI 실전 배치 본격화 08-04 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
