1. 보안관련 인증절차와 금융 보안프로그램으로 사칭한 KRBanker


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들의 예금탈취를 노린 악성파일(KRBanker) 변종이 새로운 형태의 내용으로 전자금융 서비스 이용자들을 현혹시키고 있는 정황을 포착하였다. 악성파일은 국내 특정 웹 사이트를 해킹하여 보안이 취약한 접속자로 하여금 웹 사이트 접속만으로 악성파일(KRBanker)에 은밀히 감염되도록 만들어 두었다. 악성파일에 노출되어 감염이 이뤄지면, 사용자 컴퓨터에 존재하는 호스트파일(hosts)을 변조하여 시티은행, 하나은행, 기업은행, 국민은행, 외환은행, 농협, 신한은행, 수협, 스탠다드차타드, 우리은행 등의 도메인 접속 주소를 특정 피싱 IP주소로 몰래 변경시킨다. 이로인해 사용자가 정상적인 금융사 홈페이지를 접속하더라도 피싱 IP주소로 연결되어 정교하게 조작된 가짜 금융사이트 화면보이게 된다.

특히, 이번에 발견된 사례는 전자금융사기가 기승을 부리고 있다는 점을 역이용해서 마치 정상적인 금융 보안관련 인증절차 진행인 것처럼 사칭한 문구와 금융 보안 프로그램 설치 내용으로 이용자의 정보탈취를 유도하고 있어 세심한 주의가 요구된다.



[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

2. 악성파일 전파 경로 및 분석 정보

국내 특정 웹 사이트가 해킹되어 악의적인 스크립트가 삽입되었으며, 이용자가 악성 스크립트와 연결된 사이트에 접속할 경우 보안취약점(CVE-2012-1723) 공격을 받게 된다. 만약 이용자 컴퓨터가 보안에 취약한 경우 전자금융사기용 악성파일(KRBanker)에 자동으로 감염이 된다.

다음 화면은 보안 취약점 공격에 이용된 악성 스크립트의 일부 화면이다.


보안취약점에 의해서 악성 스크립트가 정상적으로 작동되면 특정 웹 사이트에서 악성파일(KRBanker)이 사용자 임시폴더(Temp)에 "updata.exe" 이름의 파일명으로 다운로드되고 실행된다.


악성파일(KRBanker)이 실행되면 사용자의 호스트파일(hosts)을 변조하기 위해서 임시폴더에 "1.bat" 파일을 생성하여 실행한다. 해당 배치파일에는 특정 IP주소로 은행사이트가 연결되도록 하는 명령어를 포함하고 있다.

여기서 문제는 악성파일이 공격자의 명령(C&C)에 따라서 피싱용 IP주소를 실시간으로 변경하고 있기 때문에 감염되는 사용자들은 동일한 악성파일에 감염되더라도 시점에 따라 다른 IP주소가 설정되고 있다.
 


"1.bat" 파일의 배치명령에 의해서 호스트파일(hosts)의 내용은 아래와 같이 피싱 사이트 내용으로 변경된다. 이 때문에 이용자가 정상적인 금융권 웹 사이트 도메인으로 직접 접속하더라도 가짜 피싱 사이트가 있는 IP주소(67.229.68.158)로 강제 연결되며, 웹 브라우저상에는 실제 정상적인 금융권 도메인 주소로 보여지기 때문에 이용자가 정상 금융사이트로 착각할 가능성이 높다.

CITIBANK.CO.KR   :: 시티은행
WWW.CITIBANK.CO.KR  :: 시티은행
HANABANK.COM   :: 하나은행
WWW.HANABANK.COM   :: 하나은행
WWW.IBK.CO.KR   :: 기업은행
MYBANK.IBK.CO.KR   :: 기업은행
KIUP.IBK.CO.KR   :: 기업은행
KBSTAR.COM   :: 국민은행
WWW.KBSTAR.COM   :: 국민은행
OBANK.KBSTAR.COM   :: 국민은행
KEB.CO.KR    :: 외환은행
WWW.KEB.CO.KR   :: 외환은행
BANK.KEB.CO.KR   :: 외환은행
EBANK.KEB.CO.KR   :: 외환은행
NONGHYUP.COM   :: 농협
WWW.NONGHYUP.COM   :: 농협
BANKING.NONGHYUP.COM  :: 농협
SHINHAN.COM   :: 신한은행
WWW.SHINHAN.COM   :: 신한은행
BANKING.SHINHAN.COM  :: 신한은행
WWW.SUHYUP-BANK.COM  :: 수협은행
WWW.STANDARDchartered.CO.kr :: 스탠다드차타드은행
WOORIBANK.COM   :: 우리은행
WWW.WOORIBANK.COM   :: 우리은행
PIB.WOORIANK.COM   :: 우리은행
SPD.WOORIBANK.COM   :: 우리은행


호스트파일(hosts)이 변조된 상태에서 대상 금융사이트에 접속할 경우 피싱 IP주소(67.229.68.158)로 변경 접속된다. 피싱용 IP주소는 계속 실시간으로 변경되고 있다. 동일한 악성파일에 감염되더라도 공격자의 명령에 따라 IP주소는 다르게 적용되고 있기 때문에 알려지지 않은 피싱용 IP주소가 매우 많이 존재할 것으로 보인다.

현재까지 잉카인터넷 대응팀이 파악한 가변적 피싱 IP주소는 다음과 같고, 시간에 따라 계속 변경되고 있다.

- 67.229.68.158
- 67.229.68.237
- 67.229.68.238
- 174.139.174.254

악성파일(KRBanker)에 감염된 상태에서 한 예로 국민은행 사이트에 접속할 경우 다음과 같이 정교하게 제작된 피싱 사이트로 연결이 이뤄지고, 실제로는 존재하지 않는 가짜 팝업 메시지 창이 출력된다. 가짜 메시지 창은 마치 정상적인 보안서비스 처럼 보여지지만, 모두 허위로 조작된 내용이다.

기존에는 보안승급서비스, 보안강화서비스, 전자금융사기예방서비스 등으로 위장한 형태가 보고되었으나, 이번에는 "보안관련 인증절차"라는 문구로 사용자들을 현혹하고 있다.

 




상기 화면에서 이용자가 [확인]버튼을 클릭하게 되면 금융 개인정보를 입력하도록 유도하는 피싱화면으로 넘어가게 되며, 사용자 추가본인 확인절차라는 화면으로 과도하게 금융정보를 요구하고, 전자금융사기 수법의 공통점인 보안카드의 모든 비밀번호를 입력하도록 유도한다.

 


만약 이용자가 피싱화면에 속아 보안카드의 비밀번호까지 모두 입력하게 될 경우 금융정보가 외부로 유출되어 예기치 못한 전자금융사기 피해를 입을 수 있게 된다. 이어서 피싱 웹 사이트에는 보안프로그램 설치라는 조작된 화면을 보여주면서 이용자에게 추가적인 악성파일을 설치하도록 시도한다.



분석당시에는 정상적으로 악성파일이 서버에 존재하지 않아 상세확인의 진행은 불가능했으나, 추가 악성파일(KRBanker/Backdoor)을 설치하여 공인인증서 탈취를 시도했을 것으로 추정된다.

보안프로그램처럼 모방하여 추가 악성파일을 설치시도하는 형태까지 진화하고 있으므로, 이용자들은 유사 피싱화면에 현혹되지 않도록 각별한 주의가 필요하다.

3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 육안상으로 진위여부를 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 개 요

 

최근 악의적인 목적을 가지고 스마트폰 단말기 정보 등의 탈취를 시도하는 악성 애플리케이션이 다수 발견되고 있다. 이러한 가운데 해외에서 E-mail 계정 및 비밀번호 탈취를 시도하는 악성 애플리케이션이 발견되어 사용자들의 주의를 요망하고 있다. 해당 악성 애플리케이션은 해외의 동영상 스트리밍 서비스 업체의 정상 애플리케이션으로 위장하고 있어 일반 사용자의 경우 쉽게 현혹되어 E-mail계정과 비밀번호를 입력 후 로그인 하게될 경우 계정정보가 외부로 유출될 수 있다.
  

2. 유포 경로 및 감염 증상

해외를 중심으로 각종 블랙 마켓, 3rd Party 마켓 등을 통해 유포될 수 있으며, 국내에서는 해당 동영상 스트리밍 서비스 업체의 사업이 진행되지 않아 특별한 감염 및 피해 사례는 나타나지 않고 있다.

해당 악성 애플리케이션은 설치시 아래와 같은 권한들을 요구하게 된다.

 
※ 전체 권한

- android:name="android.permission.INTERNET"
- android:name="android.permission.INTERNET"
- android:name="android.permission.ACCESS_NETWORK_STATE"
- android:name="android.permission.ACCESS_WIFI_STATE"
- android:name="android.permission.READ_PHONE_STATE"
- android:name="android.permission.WAKE_LOCK"
- android:name="android.permission.INJECT_EVENTS"
- android:name="android.permission.READ_LOGS"
- android:name="android.permission.WRITE_EXTERNAL_STORAGE"
- android:name="android.permission.DUMP"
- android:name="android.permission.GET_TASKS"


설치가 완료되면 아래의 그림과 같은 실행 아이콘이 생성된다.


위와같이 모든 설치 과정이 완료된 후 해당 악성 애플리케이션을 실행하면 아래의 그림과 같은 실행화면을 보여주게 된다. 해당 악성 애플리케이션은 해외의 동영상 스트리밍 서비스 업체의 애플리케이션으로 위장한 형태이므로 아래의 그림과 같이 육안상으로 정상 애플리케이션과 구별이 가능하다.


위 그림을 자세히 살펴보면 레이아웃 구성에서 차이점이 있는것을 확인할 수 있다. 우선 상단 부분의 "스마트폰 상태바"가 정상 애플리케이션의 경우 존재하나 악성 애플리케이션의 경우 존재하지 않는다. 또한, 정상 애플리케이션의 경우 진행되는 "프로그레스바"가 안드로이드에서 제공되는 일반 프로그레스바를 사용하고 있으나, 악성 애플리케이션의 경우 디자인된 프로그레스바를 사용하고 있다. 마지막으로 "인 화면의 이미지에 검은색 테두리""loading 텍스트의 유무"로도 구별이 가능하다.

위의 과정을 거쳐 애플리케이션 로딩이 완료되면 아래의 그림과 같이 메인 로그인 창이 출력된다.


위 그림을 자세히 살펴보면 마찬가지로 정상/악성 애플리케이션 간에 차이를 육안상으로 확인할 수 있다. "스마트폰 상태바"와 "이메일 계정 정보 입력창" 등 다양한 부분에서 차이점이 발견된다.

이때, 악성 애플리케이션의 경우 위 그림에서 로그인을 위한 계정 정보 입력 후 "Sign in" 버튼을 클릭하면 아래의 일부 코드에 의해 Email, Password가 저장된 EditText 값을 아래와 같은 특정 외부 URL로 유출 시도를 할 수 있다.


※ 이메일 계정 정보 유출 시도 URL

http://erofolio.[생략].biz/login.php

위 그림과 같은 로그인 과정 진행이 진행될때 해당 악성 애플리케이션은 이메일 계정 입력 시 어떠한 계정 정보를 입력해도 로그인 과정을 완료할 수 있으나, 정상 애플리케이션의 경우 해당 업체의 계정정보를 입력하지 않으면 아래의 그림과 같이 로그인 과정을 완료할 수 없다.

 


위 그림을 살펴보면 정상 애플리케이션의 경우 해당 업체의 계정 정보 이외의 정보 입력 시 로그인에 실패함을 확인할 수 있으며, 악성 애플리케이션의 경우 계정 정보 존재 유무에 상관없이 무조건 위 그림과 같은 창을 출력하게 된다. 또한, 악성 애플리케이션의 경우 위 그림과 같은 "Cancel" 버튼을 클릭할 경우 해당 악성 애플리케이션에 대한 삭제를 진행할 수 있다.

3. 예방 조치 방법

일반 사용자들은 동영상 스트리밍 서비스 업체의 정상 애플리케이션이 어떻게 구성되어 있는지 모르는 경우가 많다. 해당 악성 애플리케이션의 경우 이러한 점을 악용해 최대한 정상 애플리케이션과 유사한 화면을 구성하여 사용자들을 속일 수 있으며, 이로인해 유출될 수 있는 이메일 계정 정보는 다양한 목적을 가지고 악용될 수 있다. 이러한 악성 애플리케이션으로부터 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의가 무엇보다 중요하다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 어플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 위와 같은 악성 애플리케이션에 대해 아래와 같은 진단/치료 기능을 제공하고 있으며, 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ 진단 현황

- Trojan-Spy/Android.FakeNefilix.A





저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect