ESET, 악성 크롬 확장 프로그램 발견에 따른 주의 요망

2017년 5월 22일(월)

유럽의 엔드포인트 보안 전문 업체 ESET(이셋)의 국내 법인 (주)이셋코리아 (대표: 김남욱, http://www.estc.co.kr)는 구글의 크롬 브라우저 확장 프로그램으로 위장한 새로운 악성코드가 발견되어 주의를 요한다고 전했다.

ESET 제품에 의해 JS/Chromex.Submelius로 진단되는 이 트로이 목마 감염이 최근 남미 국가를 중심으로 확산되고 있는데, 사용자의 브라우저를 또 다른 종류의 악성 컨텐츠가 포함된 특정 URL로 강제 이동시키는 것이 특징이며, 현재 전 세계적으로 널리 사용되는 웹 브라우저 중 하나인 구글의 크롬 브라우저를 주요 감염 대상으로 한다.

예를 들어, 사용자가 온라인에서 동영상을 시청하기 위해 인기 있는 웹 사이트를 방문한 후 동영상 재생을 시작하는 경우 새로운 브라우저 창이 열리면서 다른 URL로의 이동을 요청하는데, 이 때 '수락'을 클릭하면 크롬 웹 스토어에서 확장 프로그램을 다운로드하도록 안내한다. 사용자가 다운로드를 수락하면 크롬 웹 스토어에서 또 다른 확장 프로그램을 추가로 다운로드하여 설치하게 된다.

동영상 재생이 시작됨과 동시에 브라우저는 악성 트로이 목마에 감염되며, 처음 다운로드된 확장 프로그램이 방문한 웹 사이트의 모든 데이터를 읽고 변경할 수 있는 권한이 있음을 브라우저의 확장 프로그램 목록에서 확인할 수 있다. 이는 사용자가 웹 사이트를 방문할 때 특정 코드를 삽입시킬 수 있음을 의미한다. 이후부터 사용자가 인터넷을 검색하는 중 삽입된 코드가 실행되면, 악성코드나 광고 또는 기타 악성 콘텐츠가 포함된 다른 웹 사이트로 이동하여 랜섬웨어 등 새로운 악성코드를 다운로드하는 등의 반복적인 동작이 수행됨으로써 지속적인 공격 행위가 가능해진다. 만약 이러한 악성 확장 프로그램을 다운로드한 경우에는 크롬 브라우저에서 즉시 제거해야 하는데, 검색 주소창에 "chrome : // extensions"을 입력 한 다음 해당 확장 프로그램을 찾아 삭제하면 된다.

(주)이셋코리아의 김남욱 대표는, “방문하는 모든 웹 사이트를 주의 깊게 살펴보고, 특히 확장 프로그램을 다운로드하도록 요청하는 경우에는 더욱 주의를 기울이는 것이 중요합니다. 신뢰할 수 있는 좋은 보안 솔루션을 사용하여 최신 위협으로부터 장치를 보호하는 것도 필요합니다.”고 주의를 전했다.

데이터넷	“크롬 확장 브라우저 위장 악성코드 발견”
디지털데일리	“크롬 브라우저 확장 프로그램으로 위장한 악성코드 발견”
아이뉴스24	"크롬 브라우저 확장 프로그램 깔았는데…" 악성코드 주의
이비뉴스	크롬 브라우저 확장 프로그램 위장 악성코드 주의보
디지털타임즈	러시아 해커집단, 자국 은행 해킹 후 국제 사이버 공격 계획