카스퍼스키는 자사 글로벌 연구분석팀(GReAT)이 지금까지 공개되지 않았던 새로운 원격제어 악성코드(RAT)인 '크리스탈엑스 랫(CrystalX RAT)'을 발견했다고 20일 밝혔다.
해당 악성코드는 일반적인 원격제어 기능에 정보 탈취형 악성코드(스틸러), 키로거(키 입력 기록), 클리퍼(암호화폐 지갑 주소를 공격자가 미리 지정한 주소로 자동으로 바꿔치기하는 악성코드), 스파이웨어 기능을 하나의 악성코드에 결합한 것이 특징이다.
공격자들은 이를 서비스형 악성코드(MaaS) 형태로 제3자에게 판매하고 있으며, 유튜브와 텔레그램을 통해 적극적으로 홍보하고 있어 숙련도가 낮은 공격자까지 사용할 가능성이 커지고 있다고 카스퍼스키는 경고했다.
'크리스탈엑스 랫'은 시스템 정보부터 스팀·디스코드·텔레그램 등 주요 계정 자격 증명을 탈취하고 웹 브라우저에 저장된 데이터도 수집한다. 정보 탈취를 넘어 피해자를 전방위적으로 감시할 수 있는 기능도 갖추고 있다. 화면 캡처, 마이크를 통한 음성 녹음, 웹캠 촬영, 화면 실시간 녹화 등의 기능으로 사실상 피해자의 활동 전반을 감시할 수 있다.
피해자를 혼란스럽게 만드는 교란 장난형 악성코드(Prankware) 기능으로 피해자의 마우스 커서를 강제로 흔들거나 바탕화면 배경을 변경하고, 화면 방향을 회전하고, 바탕화면 아이콘을 숨기거나 시스템을 강제로 종료할 수도 있다. 카스퍼스키는 "이런 기능은 단순한 장난처럼 보일 수 있지만, 실제 피해자의 시스템을 지속적으로 방해하고 심리적인 불안감을 유발해 공격의 피해를 키운다"고 설명했다.
레오니드 베즈베르셴코 카스퍼스키 글로벌 연구분석팀 선임 보안 연구원은 "'크리스탈엑스 랫'은 피해자의 시스템을 사실상 전방위적으로 장악해 개인정보를 완전히 침해할 수 있다"며 "현재 초기 감염 경로는 정확히 확인되지 않았지만, 이미 수십 명의 피해자가 발생한 것으로 확인됐다"고 말했다.
이효은 카스퍼스키 한국지사장은 "국내 공격자들도 소셜미디어를 통해 저렴하면서도 다양한 기능을 갖춘 이러한 원격제어 악성코드를 손쉽게 확보할 수 있어 사이버 범죄의 진입 장벽이 더욱 낮아지고 있다"며 "기업과 일반 사용자 모두 무심코 파일을 다운로드하는 습관에서 벗어나 엔드포인트 전반을 보호할 수 있는 보안 체계를 구축해 감시, 자격 증명 탈취, 시스템 조작이 결합된 복합 공격에 대비해야 한다"고 했다.