북한 해커 라자루스, NPM 악성 코드로 암호화폐 지갑 노린다

북한 연계 해킹 조직 라자루스(Lazarus)가 새로운 형태의 악성 코드로 디지털 자산 보유자를 노리고 있다는 경고가 나왔다.

블록체인 보안 기업 소켓(Socket)은 25일(현지시간) 보고서를 통해 라자루스가 자바스크립트(JavaScript) 패키지 시스템인 노드 패키징 매니저(NPM)에 악성 코드를 삽입해 디지털 자산을 탈취하는 공격을 감행하고 있다고 밝혔다. 새롭게 발견된 악성 패키지는 현재까지 330회 다운로드됐으며, 주로 개발자들이 신뢰하는 라이브러리를 모방해 배포된 것으로 분석됐다. 이 그룹은 과거에도 유사한 방식으로 기업 및 개인 사용자의 암호화폐 지갑을 공격한 바 있다.

라자루스의 악성 패키지는 설치 후 크롬, 파이어폭스, 브레이브 등 주요 웹 브라우저의 프로필 데이터를 분석하고, 맥OS의 키체인 보관소에서 로그인 정보 및 디지털 자산 지갑 관련 데이터를 몰래 추출하는 구조다. 특히 엑소더스(Exodus) 및 솔라나(Solana) 기반 애플리케이션이 주요 타깃이 되고 있는 것으로 전해졌다.

보안 전문가들은 라자루스가 기존과 동일한 난독화 기법, 원격 제어 방식 및 데이터 탈취 전략을 사용하고 있다며 해당 공격이 북한 해커 조직의 소행일 가능성이 높다고 강조했다.

한편, 사이버 보안 업체 카스퍼스키(Kaspersky)는 해커들이 유튜버를 협박해 크립토재킹 악성 코드가 포함된 링크를 동영상 설명란에 삽입하도록 유도하고 있다고 알렸다. 크립토재킹이란 피해자의 PC를 몰래 감염시켜 암호화폐를 채굴하는 해킹 방식으로, 최근 유튜브에 접속 차단 우회 도구를 제공하는 것처럼 위장한 악성 코드가 활발히 유포되고 있다.

보고서에 따르면, 구독자 6만 명 이상을 보유한 유튜버 한 명이 저작권 위반 신고를 받았고, 이후 신고 철회를 대가로 특정 링크를 동영상 설명란에 삽입하도록 요구받았다. 해당 링크를 클릭한 사용자들은 자신도 모르게 악성 코드에 감염돼 디지털 자산을 탈취당할 위험에 노출된 것으로 드러났다.

전문가들은 최근 이러한 수법이 점점 정교해지고 있다며, 특히 콘텐츠 제작자와 일반 사용자들 모두 불분명한 링크를 클릭하지 않도록 주의가 필요하다고 경고했다.