그룹아이비, 새 NFC 중계형 악성코드 '윈드릴레이' 발견

원격 접속 트로이목마(RAT) '스파이노트'와 연동 1회 카드 탭으로 실시간 사기 유발

그룹아이비(Group-IB, 한국지사장 김기태)는 2일 새로운 NFC 중계형 악성코드 '윈드릴레이(WindRelay)’를 발견했다고 이 회사는 디지털 범죄 조사, 예방 및 대응을 위한 솔루션을 공급하는 미국계 글로벌 보안기업이다.

회사에 따르면, 이번에 확인한 악성코드는 ‘WindRelay’로 추적할 수 있는데, WindRelay는 감염된 기기의 NFC 기능을 악용해 피해자의 실물 비접촉식 카드 데이터를 원격의 가짜 결제 단말기로 실시간 중계(Relay)하도록 설계된 신종 NFC 중계 악성코드다. 이 악성코드는 알려진 SpyNote 원격 접속 트로이목마(RAT)와 함께, 단일 세션 내에서 디지털 및 물리적 현금 인출을 결합한 실시간 통화 사회공학 사기 수법에 활용되고 있다.

그룹아이비(Group-IB)의 사기 방지 팀은 사기범이 실시간 전화 통화에서 은행 직원을 사칭, 피해자를 유도해 개인 맞춤형으로 RAT(앱 라벨에 피해자 본인의 이름이 표시됨)를 설치하게 한 후, 해당 원격 접속을 이용해 피해자의 추가 조치 없이 NFC 중계 악성코드인 WindRelay를 은밀하게 설치한 사례를 기록했다. 같은 13분간의 통화 동안 사기범은 피해자 명의로 대출을 신청하고 WindRelay를 통해 가짜 결제 단말기로 카드 데이터를 실시간으로 전송했으며, 모든 거래는 피해자가 직접 입력한 PIN을 통해 승인되었다.

이번 발견은 특수 제작된 NFC 중계 도구인 WindRelay가 독립형 도구로 사용된 것이 아니라, 단일 실시간 제어 공격 내에서 기존 원격 접속 악성코드와 결합해 사용됐음을 보여줘 문제가 심각하다고 회사는 진단했다.

그룹아이비(Group-IB) 연구진은 WindRelay NFC 악성코드의 권한을 분석한 결과, 의도적으로 설계된 툴킷을 확인했다. 여기에는 카드 데이터를 캡처하기 위한 NFC 접근 권한, 실시간 데이터 유출을 위한 인터넷 접근 권한, 추가 표적 선정을 위한 연락처 접근 권한, 특이한 시스템 검사 권한, 그리고 보안 도구의 탐지를 회피하기 위해 설계된 맞춤형 권한이 포함됐다.