Socket의 보안 연구원 존 타크너(John Takner)가 발표한 최근 보고서에 따르면, 총 1,340만 건의 다운로드를 기록한 319개의 구글 크롬 확장 프로그램이 연루된 대규모 검색 가로채기 캠페인이 밝혀졌습니다. 이 확장 프로그램들은 브라우저 권한을 악용하여 사용자의 검색 쿼리를 중간 서버로 리디렉션함으로써 Bing 및 Yahoo와 같은 검색 엔진을 통해 광고 수익을 창출합니다.
가로채기 작동 방식
이 확장 프로그램들은 크롬 브라우저의 chrome_settings_overrides 설정을 악용합니다. 이 설정은 복잡한 프로그래밍 없이도 사용자의 기본 검색 엔진을 교체할 수 있게 합니다. 많은 경우, 확장 프로그램에는 백엔드 스크립트나 복잡한 콘텐츠가 포함되어 있지 않으며, 단순히 매니페스트 파일과 아이콘만 포함되어 있어 크롬 웹 스토어를 쉽게 통과할 수 있습니다.
이 확장 프로그램들은 PDF 변환기, 수동 검색 도구, 또는 안전 검색 및 인공지능 확장 프로그램과 같은 유용한 도구로 위장합니다. 구글 공식 스토어에 호스팅되어 있음에도 불구하고, 종종 '등록되지 않음(Unlisted)' 상태로 존재하여 스토어 내 검색 결과에는 나타나지 않으며, 대신 외부 웹사이트의 오해의 소지가 있는 광고를 통해 홍보됩니다.
이 뉴스가 중요한 이유
이 확장 프로그램들의 위험성은 단순한 광고 사기를 넘어섭니다. 연구원들은 이 네트워크 운영자들이 확장 프로그램 자체를 업데이트할 필요 없이 언제든지 리디렉션 대상을 변경할 수 있는 능력을 갖추고 있다고 경고합니다. 이는 사용자가 갑자기 피싱 사이트나 악성 소프트웨어가 포함된 페이지로 리디렉션될 수 있음을 의미하며, 이로 인해 해당 확장 프로그램들은 원치 않는 프로그램에서 직접적인 보안 위협 도구로 변모합니다.
'Predator Search'라는 확장 프로그램에 대한 기술 분석 결과, 동일한 검색 작업이 매번 다른 결과로 이어질 수 있음이 밝혀졌습니다. 사용자는 최종 검색 엔진에 도달하기 전에 일련의 중간 도메인을 거치게 되며, 이는 운영자가 데이터 경로를 완전히 통제하고 있음을 확인시켜 줍니다.
사용자가 취해야 할 조치
구글이 이 확장 프로그램들의 대부분을 삭제했지만, 새로운 확장 프로그램이 지속적으로 등장함에 따라 위협은 여전히 존재합니다. 전문가들은 다음 단계를 권장합니다.
- 출처가 불분명하거나 의심스러운 확장 프로그램은 즉시 제거하십시오.
- 신뢰할 수 있는 백신 프로그램을 사용하여 시스템 전체 검사를 수행하십시오.
- 신뢰할 수 없는 출처나 웹사이트의 팝업 광고를 통해 확장 프로그램을 설치하는 것을 피하십시오.