Report URI와 iVerify는 사용이 중단된 서비스의 도메인을 사들여 웹사이트의 오래된 태그를 악용하는 ‘DeadTag’ 작전을 추적했다. 연구진은 이 경로가 아이폰 방문자를 Coruna와 DarkSword 익스플로잇 키트로 유도해 기기를 감염시키는 데 쓰였다고 밝혔다.
방치된 태그가 공격 통로로
웹사이트는 분석 도구나 광고 네트워크 같은 외부 서비스의 코드를 태그 형태로 불러온다. 서비스가 사라져도 웹사이트 코드에 태그가 남아 있으면, 해당 서비스의 도메인이 만료된 뒤 다른 사람이 사들여 악성 코드를 올릴 수 있다. 이 경우 사이트 운영자가 아무것도 바꾸지 않아도 방문자의 브라우저가 새 코드를 불러온다.
Report URI와 iVerify는 이렇게 악용된 만료 후 재등록 도메인 660개 이상을 확인했다. 이 태그들은 연구진이 찾아 확인한 수천 개 웹사이트에 남아 있었으며, 연구진은 월 방문 규모를 신중하게 추산해 1억 3,500만 회로 제시했다.
DeadTag의 스크립트는 약 2KB로 작고 대부분의 방문자에게는 아무것도 하지 않는다. 검색 엔진과 보안 스캐너, 자동화 브라우저처럼 봇으로 보이는 방문자는 걸러내며, 공격자 서버가 방문자별로 공격 여부와 보낼 콘텐츠를 결정한다. 조사 과정에서 연구진이 데이터센터 IP로 접속하거나 주거용 IP를 너무 자주 사용하자 서버가 응답을 멈춘 사례도 있었다. 연구진은 일반 가정 사용자처럼 보이도록 주거용 연결을 바꿔가며 조사해야 했다고 설명했다.
DeadTag를 통해 방문자는 가짜 설문과 경품 페이지, 광고 페이지, 도박·가상자산 카지노 사기 사이트 등으로 보내졌다. 연구진은 같은 태그가 방문자에 따라 서로 다른 곳으로 연결되는 것을 확인했고, 트래픽이 구매자에게 판매되는 구조로 추정했다.
아이폰 취약점을 노린 공격
연구진이 추적한 아이폰 공격은 같은 광고 게이트웨이를 거쳐 가짜 Polymarket 페이지에 도착했다. 페이지는 기기의 iOS 버전에 따라 Coruna 또는 DarkSword를 골라 전달했다. Coruna는 iOS 13부터 17.2.1까지의 구형 아이폰을, DarkSword는 iOS 18.4부터 18.7까지를 겨냥했다. 후자는 iVerify가 문서화한 변형을 바탕으로 연구진이 ‘P7 DarkSword (AKS40)’라고 이름 붙였다. iVerify의 DarkSword 변형 분석
이 공격은 피싱이나 가짜 앱 설치를 유도하는 방식이 아니다. 취약한 iOS를 실행하는 아이폰에서 페이지를 여는 것만으로 브라우저를 공격하고 스파이웨어를 설치할 수 있다고 연구진은 밝혔다. 스파이웨어는 아이폰 키체인에 저장된 비밀번호와 비밀 정보, Binance·Coinbase Wallet·OKX·Bitget·Trust Wallet·Exodus·TronLink·Bitpie 같은 가상자산 지갑 앱의 정보, 기기 및 계정 정보를 훔쳐 공격자 서버로 보낸다. 휴대전화를 재부팅하면 작동 중인 감염 요소가 멈출 수 있지만, 그때는 이미 피해가 발생했을 가능성이 있다고 연구진은 덧붙였다.
두 익스플로잇 키트는 서로 다른 캠페인에서 발견됐지만, 이번 작전에서는 탈취한 정보를 같은 서버로 보냈다. 연구진은 한 운영자가 두 키트를 모두 운용하며 피해자의 기기에 맞는 것을 전달한다고 판단했다.
공격 조직은 DeadTag 트래픽만 이용하지 않았다. 연구진은 전자상거래 플랫폼 PrestaShop을 사용하는 온라인 상점 수백 곳에서 DarkSword 로더를 발견했다. 로더는 분석 코드처럼 보이는 폴더에 숨겨져 있었다. Coruna와 DarkSword를 동시에 불러오는 의류 판매점도 확인했으며, Coruna 로더가 호스팅된 서버를 추적해 추가 웹사이트 수백 곳을 찾았다.
운영 주체와 대응 방법
연구진은 DeadTag 운영자의 정체는 확인하지 못했다. 코드나 인프라에서 특정 국가나 집단을 가리키는 단서는 찾지 못했으며, 누구에게든 트래픽을 판매하는 상업적 유통망처럼 보인다고 설명했다. 아이폰 익스플로잇 조직은 코드의 중국어 주석, 중국어권 이용자에게 인기 있는 가상자산 지갑을 겨냥한 점, 중국어권 사이트에서 발견된 로더 등을 근거로 중국어를 사용하는 집단일 가능성이 있다고 봤다. 다만 연구진은 이것만으로 운영자의 국적을 입증할 수는 없다고 밝혔다.
웹사이트 운영자는 외부에서 불러오는 스크립트를 점검하고 더는 사용하지 않는 서비스의 태그를 제거해야 한다. 스크립트 모니터링으로 사이트에 새 스크립트나 도메인이 나타나는지 확인하고, 콘텐츠 보안 정책(Content Security Policy)으로 코드를 불러올 수 있는 도메인을 제한하는 방법도 제안됐다. Report URI는 자사의 위협 인텔리전스 피드가 확인된 DeadTag 도메인과 익스플로잇 호스트, Coruna·DarkSword 인프라를 알린다고 밝혔다.
아이폰 이용자에게는 iOS를 최신 상태로 유지하고, 가상자산을 많이 보유하는 등 표적이 될 가능성이 있다면 Lockdown Mode를 켜라고 권고했다. 감염이 의심되면 휴대전화를 재시작하고 키체인에 저장된 비밀번호를 바꾼 뒤, 새 복구 문구를 사용하는 새 지갑으로 가상자산을 옮기라고 연구진은 안내했다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요