약한 비밀번호, 강한 수익: Monero 채굴 캠페인이 공개 SQL 서버를 악용
TREE NEWS 보도: FortiGuard Labs의 보안 연구원들은 위협 행위자가 인터넷에 노출된 Microsoft SQL Server 데이터베이스를 스캔하고 2,700개 이상의 흔한 취약 비밀번호 사전을 이용해 무차별 대입 공격으로 접근을 시도하는 캠페인이 진행 중이라고 공개했다. 일단 침투에 성공하면 공격자들은 Monero(XMR) 암호화폐 채굴기와 Gh0st RAT 원격 접근 트로이 목마를 함께 배포해, 침해된 데이터베이스 서버를 조용하고 지속적인 채굴 노드로 바꾸는 동시에 호스트에 대한 직접 제어권도 유지한다.
이 캠페인은 적어도 2026년 10월 초부터 활동해 온 것으로 알려졌으며, 표적 선택은 시사하는 바가 크다. 공개된 SQL Server 인스턴스는 인터넷에서 가장 흔하고 가장 화려하지 않은 기업 인프라 중 하나로, 애플리케이션 팀이 자주 구축하고, 보안 강화는 거의 하지 않으며, 외부로 나가는 채굴 트래픽을 모니터링하는 경우는 거의 없다. 이러한 조합은 비용을 지불하지 않고 컴퓨팅 자원을 확보하려는 공격자에게 매력적이고 저비용인 자원이 된다.
Monero가 여전히 채굴자들의 선택인 이유
Monero의 설계는 크립토재킹(불법 암호화폐 채굴)의 기본 통화로서의 위치를 계속 유지하게 한다. CPU에 친화적인 RandomX 작업증명 알고리즘은 공격자들이 ASIC이나 GPU 없이도 범용 서버 하드웨어에서 수익성 있게 채굴할 수 있게 하며, 프라이버시 기능은 지급금 추적을 어렵게 만든다. 이미 호스트를 침해한 공격자에게 채굴기를 설치하는 한계 비용은 거의 0이며, 침입이 발각되지 않는 한 수익은 계속 쌓인다.
- 낮은 진입 장벽: RandomX는 일반적인 x86 서버 CPU에 보상을 주며, SQL Server 호스트에는 보통 이런 CPU가 풍부하다.
- 프라이버시: 링 서명과 스텔스 주소가 채굴 자금의 흐름을 모호하게 만든다.
- 이중 페이로드: 채굴기와 Gh0st RAT의 결합은 행위자가 재판매나 측면 이동 등 여러 방식으로 접근 권한을 수익화하려 할 가능성을 시사한다.
더 넓은 암호화폐 생태계에 대한 함의
크립토재킹은 심각한 위협이 아니라 성가신 일로 치부되곤 하지만, 업계에 실질적인 결과를 초래한다. 불법 채굴은 네트워크 해시레이트를 부풀려 경제 분석을 왜곡하고, 기업이 모르는 사이에 지불하는 에너지를 소비하며, 가장 중요하게는 암호화폐 인프라가 본질적으로 범죄 활동과 연결되어 있다는 서사를 부추긴다. 이 서사는 채굴 사업과 특히 프라이버시 중심 자산에 대한 규제를 저울질하는 규제 당국과 입법자들에 의해 반복적으로 인용되어 왔다.
이 캠페인의 이중 페이로드 성격도 주목할 만하다. Gh0st RAT는 지속적인 원격 접근을 제공하므로, Monero 채굴기는 더 깊은 침해의 가시적인 증상에 불과할 수 있다. 데이터베이스 서버에서 채굴 소프트웨어를 발견한 조직은 단순히 채굴기를 삭제하는 것이 아니라 호스트가 완전히 침해된 것으로 취급해야 한다.
다음 단계
FortiGuard와 다른 보안 업체들이 이 특정 채굴기 계열과 비밀번호 사전에 대한 시그니처 범위를 확대할 것으로 예상된다. 더 중요하게는, 이번 공개가 두 가지 추세를 가속할 가능성이 높다. 즉, 데이터베이스 자동 보안 강화와 비밀번호 정책 적용의 광범위한 채택, 그리고 정당하게는 채굴 풀에 연결되어서는 안 되는 데이터베이스 계층의 외부 네트워크 트래픽에 대한 감시 강화다. 암호화폐 업계에게 이번 사건은 프라이버시 코인의 정당한 사용 사례가 악용자들에게 매력적인 점과 여전히 얽혀 있음을 상기시킨다. 방어자들이 무차별 대입 침입의 문을 닫으려 노력하는 가운데도 이 긴장은 Monero를 규제 당국의 표적으로 계속 남게 할 것이다.
