이 보이지 않는 모드스틸러들이 브라우저 암호화폐 지갑을 노린다

ModStealer라는 새로운 악성코드가 브라우저 기반 암호화폐 지갑에 중대한 위협으로 떠올랐으며, 정교한 은폐 기법을 이용해 시그니처 기반 안티바이러스 방어를 우회하고 있습니다. Mosyle의 보안 연구원들은 ModStealer가 윈도우, 리눅스, macOS 등 주요 운영체제의 지갑 확장 기능을 약 한 달간 적극적으로 표적으로 삼으면서도 탐지되지 않았다고 보고했습니다.

ModStealer의 주요 유포 경로는 악성 채용 공고를 통해 개발자들을 감염된 페이로드 다운로드로 유도하는 방법입니다. 실행되면, 악성코드는 인식 가능한 코드 패턴을 숨겨 기존 안티바이러스 엔진을 회피하는 고도로 난독화된 NodeJS 스크립트를 사용합니다. 실행은 메모리 내에서 핵심 유출 모듈을 재구성하는 동적 언팩킹 루틴으로 시작되어 디스크 상의 흔적과 증거를 최소화합니다.

이 코드는 비트코인, 이더리움, 솔라나 등 주요 블록체인을 지원하는 56개의 브라우저 지갑 확장에서 자격 증명을 검색하고 추출하기 위한 사전 설정된 명령어를 포함합니다. 개인 키, 자격 증명 데이터베이스, 디지털 인증서는 로컬 스테이징 디렉토리에 복사된 후 암호화된 HTTPS 채널을 통해 명령 및 제어 서버로 유출됩니다. 클립보드 하이재킹 기능은 지갑 주소를 가로채 공격자가 제어하는 주소로 자산 전송을 실시간으로 전환할 수 있게 합니다.

자격 증명 탈취 외에도 ModStealer는 시스템 정찰, 화면 캡처 및 원격 코드 실행을 위한 선택적 모듈을 지원합니다. macOS에서는 LaunchAgents 메커니즘을 활용해 지속성을 유지하며 윈도우와 리눅스 변종은 각각 예약 작업과 크론 작업을 이용합니다. 이 악성코드의 모듈형 구조는 제휴자가 대상 환경과 원하는 페이로드 기능에 따라 기능을 맞춤화할 수 있게 합니다.

Mosyle 분석가들은 ModStealer를 서비스형 악성코드(Malware-as-a-Service)로 분류하며, 제휴 운영자가 구축 및 배포 인프라 접근을 위해 비용을 지불함으로써 기술력이 낮은 위협 행위자들의 진입 장벽을 낮추고 있음을 의미합니다. 올해 인포스틸러 변종이 2024년에 비해 28% 증가한 것은 암호화폐 생태계 내 고부가가치 표적을 노리는 상품화된 악성코드의 증가 추세를 반영합니다.

보안팀이 권장하는 대응 전략은 악성 광고 네트워크를 차단하기 위한 엄격한 이메일 및 웹 필터링 정책 시행, 행동 기반 위협 탐지 솔루션 배포, 신뢰할 수 없는 NodeJS 스크립트의 자동 실행 비활성화를 포함합니다. 브라우저 지갑 사용자들은 확장 기능 무결성 검증, 오프라인에 저장된 시드 프레이즈의 최신 백업 유지, 고가치 자산 보관을 위한 하드웨어 지갑 사용을 권장받고 있습니다.

익숙하지 않은 도메인으로의 이상 출발 연결에 대한 트래픽 패턴 지속적 모니터링은 데이터 유출 시도를 조기에 탐지하는 데 도움을 줄 수 있습니다. 지갑 개발자, 브라우저 공급업체 및 보안 회사 간의 협력이 ModStealer의 은폐 계층을 차단하고 지갑 손상을 방지할 수 있는 시그니처 및 행동 기반 탐지 개발에 필수적일 것입니다.