왓츠앱 타고 퍼지는 웜 바이러스…브라질發 악성코드 전 세계 확산 조짐

브라질 사용자를 겨냥한 새로운 악성코드 캠페인이 등장하면서, 사이버 보안 위협이 다시금 주목받고 있다. 이번 캠페인은 장기간 활동해 온 은행 악성코드 '아스타로스(Astaroth)'의 최신 버전으로, 왓츠앱(WhatsApp)을 자동 감염 경로로 활용한 점에서 그 심각성이 부각된다.

'보토-코르-지-로자(Boto-Cor-de-Rosa)'라 불리는 이번 공격은 기존 이메일이나 악성 웹사이트만을 이용했던 전례와 달리, 피해자의 왓츠앱 연락처를 이용해 자동으로 파일을 전송하는 웜 구성을 사용하고 있다. 최초 감염은 무작위로 생성된 파일명을 가진 압축 파일이 왓츠앱 메시지를 통해 전달되며 시작된다. 압축 파일 내에는 정교하게 난독화된 비주얼 베이직(VB) 스크립트가 숨겨져 있고, 이 스크립트는 아스타로스의 본격적인 은행 정보 탈취 모듈과 새롭게 개발된 파이썬 기반 웜 모듈을 다운로드해 실행한다.

악성코드가 활성화된 이후에는 두 경로로 분리된다. 첫 번째는 피해자의 웹 브라우징 활동을 감시하다가 금융 사이트 접속 시 자동으로 인증 정보를 수집하는 기능을 갖고 있으며, 두 번째는 피해자의 연락처 목록을 탈취해 동일한 ZIP 압축 파일을 전송함으로써 감염 확산을 유도한다. 이처럼 자가 전파 방식으로 설계돼 추가적인 인프라 없이도 빠르게 전파가 가능하며, 감염의 범위를 기하급수적으로 넓힐 수 있다.

비록 이번 캠페인이 브라질을 타깃으로 삼고 있지만, 전문가들은 이를 다국어 기반 악성코드의 확산 가능성에 대한 경고 신호로 해석하고 있다. 기존 메인 페이로드인 아스타로스는 델파이로 작성된 MSI 인스톨러 형태로 유포되며 안티바이러스 우회를 위해 AutoIt 스크립트를 활용한다. 반면 웜 기능을 수행하는 왓츠앱 모듈은 전량 파이썬으로 구현된 것이 특징이다.

소셜 엔지니어링 기법도 한층 정교해졌다. 메시지는 평범하고 친근한 포르투갈어로 "요청하신 파일입니다. 문의사항 있으시면 편히 연락주세요"라는 문구를 사용하며, 수신 시간에 맞게 '좋은 아침', '좋은 저녁' 등의 인삿말이 자동 조정된다. 이러한 접근 방식은 수신자가 메시지를 의심 없이 열어보도록 유도하는 데 큰 역할을 한다.

글로벌 보안업체 아크로니스(Acronis)는 이 캠페인에 대해 “자격 증명 탈취, 정교한 소셜 엔지니어링, 다양한 시스템 확산 능력을 동시에 결합한 악성코드의 진화형”이라며, “특히 왓츠앱이라는 신뢰 기반 플랫폼을 감염 경로로 활용함으로써 피해 가능성을 극대화했다”고 분석했다.

이번 사태는 향후 SNS와 메신저 기반 악성코드 확산이 본격화될 수 있다는 점에서 기업과 개인 사용자 모두의 관심과 대비가 요구된다. 특히 브라질 등 특정 지역에서 실험된 기법이 글로벌 타깃으로 번질 가능성이 높다는 점에서 이 악성캠페인의 향후 행보에 대한 지속적인 모니터링이 필요하다.