XMRig 암호화폐 채굴 캠페인

광범위한 조사 결과, 불법 복제 소프트웨어 번들을 이용하여 맞춤형 XMRig 마이너로 시스템을 감염시키는 정교한 크립토재킹 공격이 적발되었습니다. 이 공격은 주로 소셜 엔지니어링 기법을 사용하여, 크랙된 오피스 생산성 제품군과 같은 무료 프리미엄 애플리케이션을 광고함으로써 사용자들이 트로이목마가 포함된 설치 프로그램을 다운로드하도록 유도합니다.

이러한 악성 실행 파일은 주요 침입 경로 역할을 합니다. 실행되면 시스템 안정성을 희생시키면서까지 암호화폐 채굴량을 극대화하도록 정교하게 설계된 감염 과정을 시작합니다. 이러한 기만적인 배포 전략은 소프트웨어 불법 복제가 악성코드 유포 경로로서 여전히 효과적임을 보여줍니다.

다양한 작동 모드를 갖춘 모듈형 감염 엔진

이 공격의 핵심에는 감염 과정의 지휘 센터 역할을 하는 다기능 바이너리 파일이 있습니다. 설치 프로그램, 감시 프로그램, 페이로드 관리자 및 정리 유틸리티 역할을 하는 이 구성 요소는 배포, 지속성 유지, 모니터링 및 자체 제거 기능을 총괄합니다.

이 악성 소프트웨어는 모듈식 설계로 모니터링 기능과 데이터 마이닝, 권한 상승, 지속성 확보를 담당하는 핵심 페이로드를 분리했습니다. 특정 명령줄 인수를 통해 서로 다른 실행 모드를 활성화하여 운영 유연성을 확보했습니다.

매개변수 없음 : 환경 유효성 검사를 수행하고 초기 설치 및 마이그레이션을 처리합니다.

002 Re:0 : 기본 페이로드를 드롭하고, 마이너를 시작하고, 모니터링 루프에 진입합니다.

016 : 마이너가 종료된 경우 다시 시작합니다.

barusu : 자폭 시퀀스를 시작하여 악성코드 구성 요소를 종료하고 관련 파일을 제거합니다.

이러한 구조화된 모드 전환 접근 방식은 복원력을 강화하고 방어 조치가 취해지는 경우에도 지속적인 채굴 활동을 보장합니다.

내장형 논리 폭탄 및 시한부 폐기

이 악성코드의 주목할 만한 특징은 논리 폭탄이 포함되어 있다는 점입니다. 해당 바이너리는 시스템의 로컬 시간을 가져와 하드코딩된 마감일인 2025년 12월 23일과 비교합니다.

• 2025년 12월 23일 이전에 실행될 경우, 해당 악성 프로그램은 지속성 설치 및 마이너 배포를 진행합니다.
• 이 날짜 이후에 실행되면 'barusu' 매개변수를 사용하여 자동으로 다시 시작되고, 제어된 자체 종료 프로세스가 시작됩니다.

사전에 정해진 마감일은 해당 캠페인이 그 날짜까지 지속적으로 운영될 의도였음을 시사합니다. 이 마감일은 임대한 명령 및 제어 인프라의 만료, 예상되는 암호화폐 시장 변화 또는 후속 악성코드 변종으로의 전략적 전환과 관련이 있을 수 있습니다.

BYOVD를 통한 권한 상승 및 마이닝 최적화

일반적인 감염 과정에서, 자체 포함 운반체 역할을 하는 바이너리 파일은 필요한 모든 구성 요소를 디스크에 기록합니다. 이 중에는 정상적인 Windows 원격 측정 서비스 실행 파일이 포함되어 있는데, 이 파일을 악용하여 악성 채굴 프로그램 DLL 파일을 사이드로드합니다.

이 악성코드는 보안 도구를 무력화하도록 설계된 구성 요소와 함께 지속성 메커니즘을 배포합니다. 실행 권한 상승을 확보하기 위해, 이 악성코드는 결함이 있는 드라이버 'WinRing0x64.sys'를 사용하는 BYOVD(Bring Your Own Virtue Driver) 기법을 사용합니다. 이 드라이버는 CVE-2020-14979 취약점의 영향을 받으며, 이 취약점은 CVSS 점수 7.8로 권한 상승을 허용합니다.

공격자는 이 취약점을 맞춤형 XMRig 마이너에 직접 통합함으로써 CPU 구성에 대한 저수준 제어 권한을 획득합니다. 이러한 최적화를 통해 RandomX 마이닝 성능이 약 15%에서 50%까지 향상되어 수익성이 크게 개선됩니다.

벌레처럼 번식하고 측면으로 이동합니다.

기존 트로이 목마는 초기 사용자 실행에만 의존하는 반면, 이 XMRig 변종은 공격적인 전파 기능을 갖추고 있습니다. 이동식 저장 장치를 통해 적극적으로 확산되며, 시스템 간 수평 이동을 통해 외부와 완전히 분리된 환경까지 감염시킬 수 있습니다.

이러한 웜과 같은 기능은 악성 소프트웨어를 자체적으로 확산하는 위협으로 변모시켜 조직 네트워크 내에서 그 영향력을 크게 확대하고 봇넷의 규모를 증가시킵니다.

운영 일정 및 전략적 함의

법의학적 증거에 따르면 2025년 11월 한 달 동안 간헐적인 채굴 활동이 있었고, 2025년 12월 8일부터는 활동이 급격히 증가했습니다. 이러한 패턴은 조기 발견을 피하기 위한 단계적 배치 또는 활성화 전략을 시사합니다.

이번 캠페인은 일반적인 악성 소프트웨어의 지속적인 진화를 보여줍니다. 공격자들은 사회 공학, 합법적인 소프트웨어 사칭, 웜 방식 확산, 커널 수준 공격을 결합하여 지속적이고 최적화된 암호화폐 채굴이 가능한 내구성이 뛰어나고 고성능의 크립토재킹 봇넷을 구축했습니다.