충격! 잡았다더니... 루마 인포스틸러, 다시 기지개를 켜고 있다고?!
끊이지 않는 디지털 위협과의 싸움
악성코드 루마 인포스틸러가 대대적인 단속에도 불구하고, 귀신같이 다시 살아나고 있다고해요, 진짜 디지털 세상은 한시도 긴장을 늦출 수가 없네요!
2025년 5월이었죠? 미국 법무부, 유로폴, 일본 사이버범죄대응센터(JC3), 마이크로소프트, 그리고 여러 보안 기업들이 힘을 합쳐 루마 인포스틸러 악성코드에 대한 대규모 합동 단속 작전을 펼쳤어요. 무려 2,300개가 넘는 악성 도메인을 압수하고, 핵심 인프라를 해체하는 데 성공했죠, 당시 루마는 윈도우 PC 39만 4천 대 이상을 감염시켜서 사용자들의 로그인 정보나 암호화폐 지갑 정보 같은 걸 엄청나게 훔쳐내고 있었는데, 정말 엄청난 규모의 작전이었어요. 단속 이후 한동안 피해 확산도 주춤했고요.
그런데 말이에요, 자료에 따르면 그 단속 이후 한 달도 채 지나지 않아서 루마가 슬금슬금 복구되기 시작했대요. 심지어 단속 이전 수준의 활동량을 거의 회복했다고 하니, 이 악성코드의 끈질김에 정말 혀를 내두를 정도예요. 루마 운영자는 핵심 서버는 원격 삭제됐지만 물리적으로 압수되진 않았다, 이미 시스템 복구를 마쳤다며 다크웹 포럼에 버젓이 글까지 올렸대요. 루마가 다시 활동을 시작하면서 그 수법도 더 영악해졌는데요.
이전에는 클라우드플레어 같은 곳을 썼지만, 단속 이후에는 국제 법 집행기관과의 협력이 어려운 러시아 기반 호스팅 서비스로 이전했다고 해요. 잡기 더 어렵게 꽁꽁 숨으려는 전략인 거죠. 해킹된 웹사이트나 악성 광고를 통해 가짜 프로그램 배포 사이트로 유인해서 루마를 다운로드하도록 만들기도 하고, ClickFix 기법으로 정상 웹사이트인 척 위장해서 가짜 캡차(CAPTCHA) 페이지를 띄운 다음, 사용자에게 파워쉘(PowerShell) 명령어를 실행하도록 유도한대요. 이렇게 되면 루마가 메모리에서 바로 실행되기 때문에 일반적인 파일 기반 탐지로는 걸러내기 힘들다고 하네요. 또, AI가 자동 생성한 게임 치트 소개 글을 깃허브나 유튜브, 페이스북에 올리거나 안전해 보이는 도메인을 경유해서 악성코드를 배포하는 등 파워쉘, MSHTA, DLL 사이드로딩 같은 복잡하고 정교한 우회 기법을 동원해서 보안 탐지를 피한다고 하니 조심해야겠어요.
이로 인해 씁쓸한 현실도 나타났어요. 루마 인포스틸러는 2022년 8월에 처음 나타났는데,
이를 서비스형 악성코드(MaaS: Malware-as-a-Service) 모델로 운영된대요. 소프트웨어 회사처럼, 돈만 내면 누구나 루마를 쓸 수 있다는 얘기예요. 기본 버전이 250달러, 전체 소스코드 포함된 고급형은 2만 달러까지 한다고 하네요..
이번 국제 단속은 분명 규모는 컸지만, 루마 운영자에 대한 기소나 체포가 이루어지지 않으면서 악성코드가 너무 쉽게 복귀해버렸어요. 전문가들은 이런 MaaS 형태의 악성코드들은 단속을 일시적인 장애물로 여기고 바로 재건할 준비를 하고 있기 때문에, 기술적인 단속만으로는 뿌리 뽑기 어렵다고 경고합니다. 우리 스스로 시스템을 갖추고 지속적으로 감시해야 할 것 같아요. 루마 인포스틸러의 끈질긴 복귀는 사이버 보안이 단순히 기술적인 싸움이 아니라, 끊임없는 경계심과 협력이 필요한 장기전이라는 걸 다시 한번 보여주고 있어요. 우리 모두 경각심을 늦추지 말고, 다가오는 디지털 위협에 함께 대비해나가요!
<관련기사>
○ 가짜 캡챠부터 시작된 공격, 룸마스틸러라는 파일레스 멀웨어로 이어져 (2024.10.23)
○ 정보 탈취하는 ‘인포스틸러’급증...대응 및 예방 5가지 전략 (2025.03.20.)
○ 사라진 줄 알았던 악성코드 ‘루마’, 정상 활동 재개 움직임 (2025.06.05.)
