어떤 공격인가

안랩 보안분석팀(ASEC)은 허니팟 모니터링을 통해 리눅스 SSH 서버를 대상으로 한 코인 마이너 유포 사례를 확인했다. 공격자는 전파 기능을 갖춘 악성코드를 사용해 감염된 서버에서 다른 취약한 서버로 스스로 확산되도록 설계했으며, 최종 목표는 XMRig 코인 마이너를 설치해 서버 자원을 암호화폐 채굴에 무단 사용하는 것이다. 부적절하게 관리되는 서버가 주요 표적이 된다.

사용된 도구와 방식

이번 공격에서는 Go 언어로 제작된 다운로더 및 전파 악성코드가 핵심 역할을 했다. ShellBot 악성코드와 함께, 로그를 삭제하는 MIG LogCleaner와 프로세스를 숨기는 XHide 같은 은폐 도구도 병행 사용됐다. Shc(Shell Script Compiler)로 컴파일된 스크립트도 활용해 분석을 어렵게 했다. 침투·채굴·은폐·전파를 단계적으로 조합해 탐지를 회피하는 구조다.

이용자가 확인할 것

• SSH 접속에 기본 계정이나 단순 비밀번호를 사용하고 있다면 즉시 변경한다.
• 비밀번호 인증 대신 공개키 인증 방식을 적용한다.
• CPU 사용률이 이유 없이 높다면 비정상 프로세스 여부를 점검한다.
• 시스템 로그(auth.log 등)를 정기적으로 확인해 비인가 접속 이력을 살핀다.

← 뉴스 목록으로