크립토재킹(가상화폐 채굴) 공격 기법 탐지 방안

크립토재킹은 가상통화인 Crytocurrency와 탈취인 Hijacking의 합성어로 해커들이 사용자의 PC를 이용하여 가상화폐를 채굴하는 공격입니다.

예전에 공격자가 사용자PC에 Miner 악성코드를 감염시켜 해당PC의 자원을 소모시켜 가상화폐를 채굴한 반면

최근 공격 트렌드는 웹 사이트를 해킹하여 자바스크립트로 이루어진 Miner 코드를 삽입하는 방식으로써 웹 사이트에 접근하는 사용자는 자신도 모르게 자신의PC가 악성스크립트를 통해 가상화폐를 채굴하는데 사용되게 됩니다.

또한 이 공격은 웹 사이트에 접근한 모든 사용자를 대상으로 영향을 끼치기 때문에  특정 사용자의PC만 감염시키는 Miner 악성코드 보다 파급력이 훨씬 큽니다. 따라서 많은 해커들이 이 방법을 사용하는 이유입니다.

크립토재킹 기존 공격방식(왼쪽)과 최근 공격방식(오른쪽)의 차이

감염증상

웹 사이트에 크립토재킹 스크립트가 삽입되면 해당 사이트를 방문한 사람자PC의 CPU 사용률이 거의 100% 정도 나타난다.

악성 스크립트 코드

아래 그림 첫줄에 보이는 자바스크립트 소스인

<script src="https://coinhive.com/lib/coinhive.min.js"></script>는 Coinhive를 이용하여 가상화폐를 채굴하는 악성 스크립트입니다.

밑에 보이는 KEY 부분은 은행으로 따지면 계좌번호에 해당하는 해커의 계좌입니다.

대응방안

- 일반 사용자 : 브라우저 확장 프로그램 사용 

ex)  안티마이너(AntiMiner), 노코인(NoCoin), 마이너블록(MinerBlock) 등

- 보안담당자 : IP(coinhive.com) 방화벽 차단 및 스크립트를 보안장비(IDS/IPS) 탐지룰로 작성하여 차단