요약:
사이버 보안 연구원들은 최근 Remus라는 악성 코드가 광범위한 관심을 끌고 있음을 밝혔습니다. 기존의 스텔스 프로그램과 달리 이 악성코드는 Google 계정과 관련된 인증 토큰을 훔칠 수 있는 것으로 밝혀졌으며, 피해자가 비밀번호를 변경한 후에도 공격자가 Gmail 계정에 대한 액세스를 유지할 수 있는 경우도 있었습니다.
연구원들은 Remus가 주로 Windows 시스템 사용자를 표적으로 삼는 정보 도용 악성 코드라고 지적했습니다. 일반적인 비밀번호 도용 악성 코드와 유사하게 이 악성 코드는 로그인 자격 증명, 쿠키, 암호화폐 지갑 데이터 및 브라우저에 저장된 기타 민감한 정보를 수집하려고 시도합니다. 그러나 가장 놀라운 기능은 Google 계정 인증 메커니즘에 대한 공격 방법에 있습니다.
분석에 따르면 공격자가 반드시 사용자 비밀번호 자체를 알아낼 필요는 없습니다. 대신 Remus는 로그인 상태를 유지하기 위해 브라우저에서 사용되는 인증 토큰을 얻으려고 시도합니다. 이러한 토큰이 도난당하면 공격자는 이를 사용하여 합법적인 사용자를 사칭하여 관련 계정에 액세스할 수 있습니다.
보안 전문가들은 많은 사용자들이 자신의 계정에 이상이 있는 것을 발견한 후 즉시 비밀번호를 변경하면 침입자의 접근 권한을 완전히 차단할 수 있다고 믿고 있다고 말했습니다. 그러나 공격자가 아직 유효한 인증 토큰을 갖고 있는 경우 단순히 비밀번호를 변경한다고 해서 즉시 비밀번호가 무효화되지는 않을 수 있으므로 이 보안 경고는 큰 우려 사항입니다.
연구원들은 Remus 운영자가 피해자가 비밀번호를 변경한 후에도 일부 Google 서비스에 계속 액세스할 수 있다고 주장하면서 이 기능을 홍보 판매 포인트 중 하나로 사용했다고 언급했습니다. 실제 공격 환경의 맥락에서 관련 주장을 평가해야 하지만 보안 커뮤니티에서는 일반적으로 기존 비밀번호 대신 세션 토큰을 사용하는 이러한 유형의 공격 방법이 현재 사이버 범죄 활동의 발전 추세를 대표한다고 믿고 있습니다.
이러한 유형의 공격이 Google 계정 보안 메커니즘이 완전히 침해되었음을 의미하지는 않는다는 점은 주목할 가치가 있습니다. 전문가들은 문제의 핵심은 감염된 장치의 자격 증명 도용이라고 설명합니다. 공격자가 유효한 인증 정보를 획득하면 시스템은 해당 공격자를 인증된 합법적인 사용자로 착각할 수 있습니다.
위험을 줄이기 위해 보안 연구원들은 사용자가 자신의 기기가 멀웨어에 감염된 것을 발견한 후 계정 비밀번호를 변경할 뿐만 아니라 로그인된 모든 기기 및 세션에서 적극적으로 로그아웃하고, 계정 보안 설정을 확인하고, 다단계 인증을 활성화할 것을 권장합니다. 동시에, 악성 코드가 계속해서 새로운 신원 정보를 훔치는 것을 방지하기 위해 감염된 장치를 철저히 검사하고 치료해야 합니다.
업계 관계자들은 브라우저 동기화 기능, 영구 로그인 메커니즘, 클라우드 서비스의 인기로 인해 사이버 범죄자들이 단지 사용자 이름과 비밀번호를 얻는 것보다 세션 토큰과 같은 고급 인증 데이터를 훔치는 경향이 점점 더 커지고 있다고 지적했습니다. 전통적인 계정 도용 방법과 비교할 때 이러한 유형의 공격은 종종 더 미묘하고 사용자가 적시에 탐지하기가 더 어렵습니다.
보안 전문가들은 사용자에게 더욱 주의를 기울이고, 출처를 알 수 없는 소프트웨어 다운로드, 도구 크래킹 또는 의심스러운 첨부 파일을 피하고, 운영 체제와 보안 소프트웨어를 적시에 업데이트할 것을 촉구합니다. 계정이 도용되었다고 의심되는 사용자는 비밀번호 변경과 더불어 로그인 기록 확인, 알 수 없는 기기 인증 취소, 보안 인증 환경 재설정 등을 통해 공격자가 계속해서 유출된 인증 정보를 이용해 계정에 접근할 수 없도록 해야 합니다.
댓글