가상 통화 마이닝 PC 월렛 어드레스를 다시써서 채굴 코인을 그대로 빼앗는 말웨어 「Satori Coin Robber」

가상 통화 마이닝 PC 월렛 어드레스를 다시써서 채굴 코인을 그대로 빼앗는 말웨어 「Satori Coin Robber」

가상 통화를 채굴하는 머신에 감염하고 마이닝 소프트의 월렛 어드레스를 다시쓰고, 마이닝 수익을 완전히 훔쳐내는 말웨어 「Satori Coin Robber」가 발견되었습니다. Satori Coin Robber는 이미 봇넷을 구축하고 있는 것이 확인되어, 감염을 모르는 PC의 수익을 계속해서 빼앗고 있습니다.

2017년말에 IoT 단말에 감염하는 말웨어 「Mirai」로부터 파생한 「Satori」가 IoT 기기에 공격을 장치한 것이 화제가 되었습니다. 이 IoT 단말공격 말웨어를 기초로, 가상 통화 마이닝 수익을 그대로 빼앗기 위해서 만들어진 말웨어 「Satori Coin Robber」가 발견되었습니다.

Satori Coin Robber는 가상 통화 이데리움 등을 마이닝 하는 소프트웨어 「Claymore Mining」을 이용하는 PC에 감염합니다. 피해는 주로 Windows 머신으로 확인되고 있어, PC가 Claymore Mining에 감염하면 PC의 ETH 어드레스 등의 가상 통화 월렛 어드레스가 공격자 것에 고쳐 쓰여버립니다. 월렛 어드레스가 고쳐 쓰이고 있는데도 알아차리지 않는 이상, 마이닝 PC 소유자는 공격자를 위해서 부지런히 마이닝하는 것이 되어버립니다.

Claymore Mining 디폴트 설정에서는 포트 「3333」이 비밀번호 록되지 않는 것을 악용해서 침입하는 모양. 마이닝 PC에 감염한 Satori Coin Robber는 처음에 가상 통화 마이닝 상황을 감시한 뒤, reboot 배치 파일을 갱신해서 월렛 어드레스를 다시쓰고, 새로운 월렛 어드레스로서 머신을 재시작시킵니다.

피해상황을 보고한 Netlab 360에 의하면, 2018년1월16일 시점으로 Satori Coin Robber는 의연히 활동중인 것이 확인되었습니다. 최근 2일간 해시 레이트는 1606MH/s에 달하고 있어, 24시간에 0.1733ETH(약20만원)분의 이데리움을 그대로 빼앗고 있는 것을 밝혔습니다.