사이버 보안 기업 카스퍼스키의 글로벌 연구분석팀(GReAT)이 정보 탈취부터 실시간 감시까지 복수의 악성 기능을 단일 코드에 결합한 신종 원격제어 악성코드(Remote Access Trojan, RAT)를 발견했다.

카스퍼스키는 20일 GReAT이 신종 RAT인 ‘CrystalX RAT’을 탐지했다고 밝혔다.

이 악성코드는 △정보 탈취형 스틸러 △키로거 △클리퍼 △스파이웨어 기능을 하나로 통합한 구조다.

공격자들은 MaaS 형태로 제3자에게 판매하며, 유튜브와 텔레그램을 유포 채널로 활용하고 있는 것으로 확인됐다.

CrystalX RAT은 감염 시스템에서 폭넓은 정보를 수집한다.

Steam·Discord·Telegram 계정 자격 증명과 브라우저 저장 데이터를 탈취하고, 클리퍼 기능을 통해 피해자의 암호화폐 지갑 주소를 공격자가 지정한 주소로 바꿔치기할 수 있다.

감시 측면에서는 화면 캡처, 마이크 음성 녹음, 웹캠 촬영, 실시간 화면 녹화가 가능하다.

아울러 마우스 커서 강제 조작, 바탕화면 배경 변경, 화면 방향 회전, 시스템 강제 종료 등 피해자를 교란하는 장난형 악성코드(Prankware) 기능도 내장돼 있다.

GReAT 레오니드 베즈베르셴코 선임 보안 연구원은 “계정 자격 증명 탈취에 그치지 않고 수집된 정보가 협박이나 금전 갈취에 악용될 가능성이 있다”며 “카스퍼스키 텔레메트리에서 새로운 버전이 지속적으로 탐지되고 있어 현재도 활발히 개발·유지되고 있음을 보여준다”고 밝혔다.

초기 감염 경로는 아직 특정되지 않았으나, 이미 수십 명의 피해자가 확인된 상태다.

카스퍼스키 한국지사장 이효은은 “소셜미디어를 통해 저렴하게 구입 가능한 이런 악성코드가 확산되면서 사이버 범죄 진입 장벽이 낮아지고 있다”며 “무심코 파일을 다운로드하는 습관에서 벗어나 엔드포인트 전반을 보호할 보안 체계를 구축해야 한다”고 강조했다.

카스퍼스키는 피해 예방을 위해 △메신저·이메일 수신 파일 실행 자제 △게임·모드 공식 사이트 이상의 경로 이용 금지 △신뢰할 수 있는 보안 솔루션 설치 △Windows 파일 확장명 표시 기능 활성화를 권고했다.

CrystalX RAT 상세 분석과 침해지표(IoC)는 Securelist.com을 통해 확인할 수 있다.