브라우저를 악성코드 조립공장으로 전환하는 말버타이징 확산

브라우저가 악성코드를 ‘조립공장’으로 전환…조각 전송형 말버타이징 확산

• 더해커뉴스 보도에 따르면 공격자는 합법적처럼 보이는 광고 네트워크에 침투해 사용자를 유도하고, 악성코드를 여러 조각으로 쪼개 전송한 뒤 브라우저 내 스크립트가 이를 재조립해 실행 파일을 만드는 신규 말버타이징 기법이 나타났다고 분석된다.
• 이 공격은 사용자가 광고를 클릭하거나 단순 노출만으로도 브라우저의 자바스크립트가 암호화된 페이로드 조각을 수집·복호화해 하나의 EXE 파일로 합치는 방식이며, 이 과정이 디스크나 전통적 설치 단계 없이 메모리 위주로 이뤄져 백신·게이트웨이 탐지를 우회하는 것이 핵심이다.
• 보도에 따르면 기존처럼 단일 PE 파일을 내려받지 않고 수십 KB 단위 암호화 조각과 난독화 스크립트로 분산 전송해 네트워크·샌드박스 탐지를 피하고, 최종 실행 단계에서만 완성된 바이너리가 생성되며, 캠페인에는 윈도우 크롬·엣지 등 주요 브라우저가 악용된 것으로 파악된다.
• 브라우저가 사실상 ‘악성코드 빌더’로 활용되면서 웹 트래픽·파일 위주 규제 중심의 기존 보안 규제가 한계에 직면해, 국내 포털·광고플랫폼·공공 웹서비스를 대상으로 한 말버타이징 방지 가이드라인 개정과 브라우저 실행 행위 모니터링 표준 도입이 시급해진다.
• 조각 전송형 말버타이징은 한국이 추진 중인 제로트러스트·AI 보안 전략과 직접 연계해 위협 인텔 기반 광고망 검증, 브라우저 행위 분석 스타트업 육성, 공공 조달 기준에 ‘클라이언트 무결성 검사’ 요구사항을 포함할 수 있는 계기가 되며, 동시에 국내 광고·콘텐츠 산업 전반의 보안 내재화를 촉진하는 정책 레버리지로 작동할 수 있다.

정부는 광고·브라우저 생태계 사업자를 ‘중요 정보통신기반’ 수준으로 간주해 말버타이징 모니터링 의무를 부여하고, K-시큐리티 펀드로 브라우저 행위 분석·위협 인텔 스타트업을 선제 지원하는 한편 공공 웹서비스 조달에 말버타이징 대응 기능을 필수 요건으로 명시할 필요가 있다.

주요 용어: 말버타이징(악성코드 유포를 위한 온라인 광고 악용 방식), 페이로드 조각화(악성코드를 여러 조각으로 분할 전송해 탐지를 회피하는 기법), 제로트러스트(사용자·기기를 기본 불신하고 지속 검증하는 보안 모델), 브라우저 행위 분석(브라우저 내 스크립트·실행 패턴을 기반으로 이상 징후를 탐지하는 기술), 위협 인텔리전스(공격자 인프라·전술 정보를 수집·공유해 선제 대응에 활용하는 체계)

출처: The Hacker News