공격 국가 와 기능 확장 하 고 있 는 Roaming Mantis – 데일리 시 큐 
 공격 국가 와 기능 확장 하 고 있 는 Roaming Mantis 
 아시아 지역 스마트폰 노리 고 DNS 하이재 킹 기법 통해 유포 
 길 민권 기자 mkgil @ dailysecu . com 2018 년 05 월 23 일 수요일 
 ▲ Roaming Mantis 
 카스퍼스키 랩 연구 진 은 주로 아시아 지역 의 스마트폰 을 노리 고 DNS ( domain name system ) 하이재 킹 기법 을 통해 유포 되 는 신종 악 성 코드 를 하 나 보 고 했 다 . 
 이 악 성 코드 는 4 주 동안 빠르 게 진화 를 거듭 하 여 현재 지리 적 공격 범위 가 유럽 과 중동 까지 확대 되 었 고 iOS 기기 에 대한 피싱 옵션 및 PC 암호 화 화폐 채굴 기능 도 추가 되 었 다 . Roaming Mantis 라고 불리 는 이 공격 은 주로 자격 증명 정보 등 의 사용 자 정보 를 탈취 하 고 해커 가 감염 된 기기 를 완전 하 게 장악 할 수 있 도록 설계 되 어 있 다 . 
 카스퍼스키 랩 연구 진 은 이러 한 공격 활동 의 배후 에 금전 적 이득 을 목적 으로 하 는 한국어 또는 중국어 기반 의 사이버 범죄 집단 이 있 는 것 으로 보 고 있 다 . 
 카스퍼스키 랩 의 분석 결과 에 따르 면 Roaming Mantis 배후 의 해커 들 은 취약 한 라우터 를 찾아내 어 보 안 기능 을 손상 시키 며 이렇게 감염 된 라우터 의 DNS 설정 을 하이재 킹 하 는 , 간단 하 지만 매우 효과 적 인 수법 을 통해 악성 코드 를 퍼트린 다 . 라우터 보안 기능 을 손상 시키 는 방법 은 알려져 있 지 않 다 . 일단 DNS 하이재 킹 에 성공 하 면 사용 자 가 웹 사이트 에 접근 하 려고 시도 할 때 마다 정상 적 인 것 으로 보이 는 가짜 웹 사이트 URL 로 연결 된다 . “ 검색 기능 개선 을 위해 Chrome 을 최신 버전 으로 업데이트 하 세요 ” 와 같 은 위조 요청 메시지 를 받 은 사용 자 가 링크 를 클릭 하 면 트로이 목마 를 포함 한 애플리케이션 의 설치 가 시작 된다 . ‘ facebook . apk ’ 또는 ‘ chrome . apk ’ 라는 이름 의 이 들 애플리케이션 에 는 안드로이드 백도어 프로그램 이 포함 되 어 있 다 . 
 Roaming Mantis 악 성 코드 는 해당 기기 가 루팅 되 어 있 는지 확인 한 다음 사용 자 의 모든 커뮤니케이션 또는 검색 활동 에 대해 알림 을 받 을 권한 을 요청 한다 . 또한 이 악 성 코드 는 2 단계 인증 에 필요 한 자격 증명 정보 등 의 광범위 한 데이터 도 수집 할 수 있 다 . 이러 한 기능 외 에 도 대한민국 에서 널리 사용 되 는 모바일 뱅킹 및 게임 애플리케이션 ID 에 대한 검색 이 소스 코드 에 포함 되 어 있 다는 사실 로 미루 어 볼 때 이 들 의 공격 에 는 금전 적 동기 가 깔려 있 을 가능 성 이 있 다 . 
 카스퍼스키 랩 측 이 초기 연구 에서 밝혀낸 약 150 명 의 피해자 는 주로 대한민국 , 방글라데시 , 일본 에 분포 되 어 있 었 다 . 그러나 해커 의 C & C 서버 에서 매일 같이 수천 건 의 연결 이 이루어지 고 있 다는 사실 도 드러났 는데 , 이 는 훨씬 더 광범위 한 공격 이 실행 되 고 있 을 가능 성 을 시사 한다 . Roaming Mantis 는 초기 에 한국어 , 중국어 간 체 , 일본어 , 영어 를 지원 했 다 . 
 현재 공격 범위 는 더욱 확대 되 어 폴란드어 , 독일어 , 아랍어 , 불가리아어 , 러시아어 등 총 27 개 언어 가 지원 된다 . 또한 악 성 코드 가 iOS 기기 의 존재 를 인식 할 경우 Apple 테마 의 피싱 페이지 로 이동하 는 기능 이 추가 되 었 다 . 가장 최근 추가 된 기능 은 PC 암호 화 화폐 채굴 기능 을 갖춘 악 성 웹 사이트 이 다 . 카스퍼스키 랩 에서 관찰 한 바 로 는 매우 광범위 한 공격 이 최소 한 차례 이상 진행 되 었 던 것 으로 보이 며 , 연구 진 에 따르 면 며칠 사이 카스퍼스키 랩 고객 이 100 명 이상 공격 을 받 았 다고 한다 . 
 카스퍼스키 랩 코리아 의 이창훈 지사장 은 “ 카스퍼스키 랩 은 4 월 에 처음 Roaming Mantis 에 대해 보 고 하 면서 이 악 성 코드 가 능동 적 이 고 변화 속도 가 빠르 다고 전한 바 있 다 . 새로운 증거 에 따르 면 공격 국가 가 폭발 적 으로 확대 되 어 유럽 과 중동 등 으로 까지 번진 것 으로 보인다 . 카스퍼스키 랩 은 금전 적 이득 을 노리 는 사이버 범죄자 들 이 배후 에 있 다고 추측 하 며 , 이 들 이 중국어 또는 한국어 를 구사 한다고 여겨 지 는 여러 단서 를 발견 했으며 공격자 에게 상당히 큰 동기 가 있 는 것 이 분명 하 므로 기세 는 쉽 게 꺾이 지 않 을 것 으로 보인다 . 이 들 은 라우터 를 감염 시키 고 DNS 를 하이재 킹 하 는 기법 을 사용 하 므로 기기 보호 를 철저히 하 고 , 불 특정 Wi - Fi 사용 시 VPN 기능 의 사용 을 반드시 활용 해야 할 것 이 다 ” 라고 말 했 다 . 
 한편 카스퍼스키 랩 은 이러 한 악 성 코드 감염 으로부터 인터넷 연결 을 보호 할 수 있 도록 아래 와 같 은 조치 를 취할 것 을 권고 한다 . 
 ▲ 라우터 의 사용 자 매뉴얼 을 참조 하 여 DNS 설정 이 무단 변경 되 지 않 았 는지 확인 하 거나 ISP 에 문의 하 여 도움 을 받 는다 . 
 ▲ 라우터 의 관리자 웹 인터페이스 에서 기본 로그인 및 암호 설정 을 변경 하 고 공식 출처 를 통해 라우터 펌웨어 를 정기 적 으로 업데이트 한다 . 
 ▲ 라우터 펌웨어 는 절대 제조사 가 아닌 타사 출처 를 통해 설치 하 지 않 는다 . 안드로이드 기기 의 경우 타사 저 장소 사용 을 피해야 한다 . 
 ▲ 또한 브라우저 와 웹 사이트 주소 가 정상 적 인 주소 인지 항상 확인 한다 . 데이터 입력 요청 을 받 을 경우 https 와 같 은 표시 가 있 는지 확인 한다 . 
 ▲ Kaspersky Internet Security for Android 와 같 은 모바일 보안 솔루션 을 설치 하 여 이러 한 공격 을 비롯 한 다양 한 위협 에서 기기 를 보호 한다 . 
 태그 카스퍼스키 랩 , 	 스마트폰 , 	 악 성 코드 , 	 Roaming Mantis