Storm Stealer
사이버 보안 연구원들은 구글 크롬, 마이크로소프트 엣지, 모질라 파이어폭스 사용자를 대상으로 하는 정교한 새로운 위협을 확인했습니다. 스톰(Storm)으로 알려진 이 고도화된 정보 탈취 악성 프로그램은 비밀번호 탈취, 2단계 인증 우회를 위한 세션 쿠키 탈취, 결제 카드 데이터 수집 등 다양한 기능을 하나의 악성 서비스로 통합하여 공격하는 다기능 공격 플랫폼으로 작동합니다.
대여 가능한 툴킷 형태로 제공되는 Storm은 사이버 범죄자들이 침입하기 훨씬 쉽게 만들어주며, 10억 명이 넘는 브라우저 사용자를 잠재적 위험에 노출시킵니다.
목차
Inside Storm: 조용하고 교묘한 정보 탈취자
Storm은 탐지를 회피하면서 데이터 추출을 극대화하도록 설계되었습니다. 엔드포인트 보안 도구를 우회하고, 원격으로 브라우저 자격 증명을 해독하며, 공격자가 경보를 울리지 않고 탈취한 세션을 복원할 수 있도록 합니다.
기존의 악성 소프트웨어는 로컬 복호화 기술에 의존했지만, Storm은 은밀한 접근을 우선시하는 아키텍처를 채택하고 있습니다. 자격 증명, 세션 쿠키, 암호화폐 지갑 정보 등 민감한 브라우저 데이터를 공격자가 제어하는 서버로 조용히 유출한 후, 감염된 시스템과는 떨어진 원격 서버에서 복호화를 수행합니다. 이러한 원격 접근 방식 덕분에 최신 보안 시스템을 회피할 수 있습니다.
자격 증명 도용 기술의 진화
자격 증명 탈취 수법은 상당한 변화를 겪었습니다. 과거에는 공격자들이 SQLite 라이브러리를 사용하여 피해자 기기의 브라우저 자격 증명 저장소에 접근하고 데이터를 직접 추출 및 복호화했습니다. 그러나 보안 솔루션이 발전함에 따라 이러한 활동을 탐지하는 것이 훨씬 쉬워졌습니다.
2024년 크롬 127 버전부터 구글이 앱 바인딩 암호화(App-Bound Encryption)를 도입하면서 암호화 키가 브라우저 자체에 연결됨으로써 이러한 공격이 더욱 어려워졌습니다. 공격자가 브라우저 디버깅 프로토콜을 악용하거나 악성 코드를 삽입하려 시도하더라도 보안 시스템은 의심스러운 동작을 식별할 수 있는 경우가 많았습니다.
Storm은 로컬 복호화를 완전히 포기하고 공격자가 제어하는 인프라로 작업을 전환함으로써 피해자 컴퓨터에서 탐지 가능한 흔적을 최소화하여 이러한 진화의 다음 단계를 나타냅니다.
서버 측 복호화 및 크로스 브라우저 호환성
Storm은 원격 서버에서 암호 해독을 완벽하게 처리함으로써 기존의 정보 탈취 프로그램을 뛰어넘는 발전을 이루었습니다. Chromium 기반 브라우저와 Gecko 기반 브라우저를 모두 지원하여 다양한 환경에서 뛰어난 활용성을 자랑합니다.
탈취된 데이터는 복호화 후 사이버 범죄자들이 사용하는 중앙 운영자 패널로 전송됩니다. 이 패널은 공격 단계에 자동화 기능을 도입하여 공격자가 탈취한 데이터를 대규모로 효율적으로 활용할 수 있도록 합니다.
자동화된 세션 하이재킹과 기업 위험
Storm의 특히 위험한 기능 중 하나는 인증된 세션을 복원할 수 있다는 점입니다. 공격자는 Google Refresh Token과 지리적으로 일치하는 SOCKS5 프록시를 함께 제공함으로써 인증 절차를 거치지 않고 피해자의 활성 세션을 조용히 다시 설정할 수 있습니다.
이러한 기능은 심각한 결과를 초래할 수 있습니다.
- 기업 환경은 손상된 브라우저 하나를 통해 노출될 수 있으며, 이를 통해 SaaS 플랫폼, 내부 시스템 및 클라우드 인프라에 접근할 수 있게 됩니다.
- 개인 사용자는 2단계 인증을 직접 우회하지 않고도 계정 탈취, 금융 사기 및 기타 표적 공격에 직면할 수 있습니다.
이미 인증된 세션을 재사용하는 것은 기존의 로그인 보호 기능을 사실상 무력화시킵니다.
저비용 고효율 사이버범죄 대응 서비스
Storm은 사이버 범죄자들이 월 1,000달러라는 저렴한 가격으로 이용할 수 있어, 접근성이 좋으면서도 강력한 도구입니다. 이러한 저렴한 가격 덕분에 고도화된 공격 기능이 빠르게 확산되고, 전문성이 떨어지는 공격자조차도 매우 효과적인 캠페인을 실행할 수 있게 됩니다.
저비용, 은밀성, 자동화의 결합은 확장 가능하고 서비스 기반의 사이버 범죄 운영으로의 중요한 전환을 의미합니다.
방어 조치: 폭풍 피해 노출 최소화
보안 전문가들은 스톰과 같은 위협으로 인한 위험을 완화하기 위해 일상적인 사이버 보안 관행을 강화하는 것이 중요하다고 강조합니다.
- 신뢰할 수 없거나 비공식적인 출처에서 소프트웨어를 다운로드하지 마십시오.
- 피싱 및 기타 사회공학적 수법에 항상 경계하십시오.
- 모든 계정과 서비스에 고유한 비밀번호를 사용하십시오.
- 가능한 모든 곳에서 2단계 인증을 활성화하고, 지원되는 경우 패스키를 채택하십시오.
단일 보안 조치만으로는 완벽한 보호를 보장할 수 없지만, 다층 보안은 침해 가능성을 크게 줄여줍니다.
