1. 전자금융사기 방심은 절대금물


사자성어 중에 지부작족(知斧斫足)이라는 말이 있다. "믿는 도끼에 발등을 찍힌다"는 뜻으로, 믿었던 것에 배신을 당한다는 것을 비유적으로 표현한 말이다. 2012년부터 수개월간 실제 인터넷 뱅킹 사이트처럼 정교하게 조작된 피싱사이트로 연결시키는 전자금융사기용 악성파일(KRBanker)들이 여전히 기승을 부리고 있는 가운데 보안업체 및 금융권에서는 전자금융사기에 대한 주의 환기를 지속적으로 안내하고 있다. 평소처럼 자신이 믿고 접속했던 인터넷 뱅킹 사이트가 사이버 범죄자들이 만든 피싱 사이트로 교체되고, 신뢰한 후 스스로 입력했던 금융정보가 모두 외부로 무단 유출되었다면 그 만큼 아찔한 순간은 없을 것이다. 최근 전자금융사기 범죄자들은 이러한 분위기를 역이용해서 마치 금융보안 서비스처럼 교묘하게 모방하고 사칭한 사기수법을 총 동원하고 있다.



이번에 새롭게 발견된 방법은 금융 보안위협이 증가하자 마치 금융권에서 제공하는 공식적인 보안서비스처럼 위장하고 있다. 그중 최근 발견된 특징적 수법으로 "금융자산예방서비스"라는 조작된 메시지창을 출력하고 사용자들을 현혹시켜 금융정보를 피싱사이트에 입력하도록 유인하고 있다. 

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

2. 보안카드 암호 전체 입력을 요구할 경우 100% 사기

이번에 발견된 악성파일은 국내 유머관련 특정 웹 사이트가 해킹되어 보안취약점을 이용했고, 접속하는 불특정 다수의 사용자에게 악성파일(KRBanker)을 무차별적으로 감염시켰다. 악성파일은 마치 안랩 V3 제품의 아이콘처럼 위장하고 있으며, 파일의 등록 정보(속성)에는 이스트소프트사의 알툴즈 업데이터 프로그램처럼 위장하고 있다.

또한, 프로그램은 중국어로 개발된 것을 확인할 수 있다.


악성파일이 작동되면 이용자의 호스트파일(hosts)을 변조시켜, 정상적인 금융권 웹 사이트에 접속하더라도 피싱 IP 주소로 연결되도록 만든다.


악성파일에 감염되었을 때 보여지는 피싱사이트 화면은 전국은행연합회 사이트에서 팝업으로 공지(http://www.kfb.or.kr/popup/120903.htm)하고 있는 전자금융사기 예방서비스 화면을 교묘히 악용하고 있다. 사이버 범죄자들은 실제 서비스 중인 다양한 전자금융사기 예방서비스용 안내 화면을 정교하게 모방하고 조작해서 이용자들을 현혹시키고 있다.

악성파일에 감염된 상태에서 국내 인터넷 뱅킹 웹 사이트에 접속하면 사용자 몰래 금융 피싱사이트로 변경되고, 아래와 같이 전자금융사기 예방시스템 신청으로 사칭한 팝업창이 나타나게 된다.


조작된 이 팝업 화면을 이용한 악성파일(KRBanker)은 시티은행, 기업은행, 하나은행, 국민은행, 외환은행, 농협, 신한은행, 우리은행 등의 피싱사이트에 각각 이용되었다.


악성파일(KRBanker) 변종에 감염된 상태에서 각 금융권 사이트는 접속시 피싱사이트로 바꿔치기 되며, 팝업 공지문으로 사칭한 내용들이 보여지게 된다.


또한, 아래와 같이 별도의 메시지 창을 띄어 금융자산예방서비스를 실행 후 사용하라는 안내화면을 보여준다.

피싱및 해킹(전화금융사기)인한 금융사기가 지속적으로 발생하고 있습니다.
11월 18일부터 모든 은행권에서 전자금융사기 예방서비스를 시행합니다.
금융자산예방서비스를 실행후 사용해주세요.


메인 화면의 팝업창을 통해서 금융 피싱사이트에서는 사용자의 개인 금융정보 입력을 본격적으로 유도하게 된다. 각 금융권에 따라 실제처럼 보이도록 정교하게 디자인된 화면이 보여지게 된다.

첫 화면에서는 이름, 주민번호, 휴대폰번호, 계좌번호, 계좌 비밀번호, 사용자 아이디, 이체 비밀번호 등의 과도하게 많은 금융정보를 1차로 입력하도록 현혹시킨다.


이어서 다음단계에서는 가장 중요한 보안카드의 일련번호와  전체 비밀번호를 입력하도록 유도한다. 어떠한 경우라도 정상적인 금융권에서는 보안카드의 일련번호와 모든 번호를 요구하는 경우는 절대 없으므로, 이런 유사한 정보요구를 목격하게 되면 100% 전자금융사기라는 점을 명심해야 한다.

거듭 강조하지만 국내 어떤 금융권에서도 금융보안서비스 가입을 명목으로 보안카드의 일련번호와 비밀번호 전체를 입력하도록 요구하는 경우는 절대 없다. 따라서 이용자들은 보안카드의 전체 비밀번호를 입력요구하는 화면을 보게 될 경우, 즉시 입력을 중단하고 관계 금융기관이나 잉카인터넷 대응팀(isarc@inca.co.kr)으로 신고를 하여 적절한 보안 조치를 받는 것이 필요하다.


보안카드의 모든 정보가 입력되면, 사이버 범죄자들에게 매우 중요한 금융정보가 무단유출되며, 아래와 같이 마치 정상적으로 예방서비스에 가입된 것처럼 화면을 보여준다. 이곳에는 [가입돠였습니다] 라는 오타가 포함되어 있는 특징이 있다.

 


3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 육안상으로 진위여부를 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 보안강화(승급)서비스 -> 전자금융사기예방서비스로 용어 변경


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들을 노린 악성파일(대표진단명:KRBanker) 변종들을 꾸준히 모니터링하고 신속하게 대응하고 있다. 그동안 다양한 KRBanker 악성파일들과 문자 메시지 서비스(SMS)를 이용한 피싱(파밍)시도 등이 공통적으로 이용자들을 현혹시키기 위해서 거짓으로 위장했던 이른바 "보안강화서비스", "보안승급서비스"라는 용어가 변경되기 시작됐다. 최근까지 잉카인터넷 대응팀과 여러 금융 기관들은 보안강화(승급)서비스라는 내용은 모두 존재하지 않는 허위정보라는 점을 여러차례 반복적으로 강조하고 지속적으로 안내하고 있다. 이 때문인지 최근 발견된 KRBanker 악성파일 변종이 꾸준히 사용하던 "보안강화(승급)서비스"라는 용어 대신에 "전자금융사기 예방서비스"라는 문구로 변경된 피싱사이트를 제작하여 사용하기 시작한 정황이 잉카인터넷 대응팀 보안 모니터링 중에 공식 확인되었다.



전자금융 서비스 이용자들은 보안강화(승급)서비스와 더불어 "전자금융사기 예방서비스" 등의 내용에 현혹되지 않아야 하며, 금융사이트에서 과도한 개인정보 입력을 요구하거나 보안카드의 모든 번호를 입력하라는 화면을 볼 경우 무의식적으로 입력하는 오류를 범하지 않도록 각별한 주의가 필요한 상태이다.
 
[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 악성파일 새로운 은행 표적추가
http://erteam.nprotect.com/320

2. KRBanker 전자금융사기용 악성파일 정보

최근 발견된 KRBanker 변종 악성파일은 호스트파일(hosts)을 이용하는 과거 기법의 형태로 발견되었고, 압축파일 자동압축해제 기능(SFX)을 이용해서 만들어진 EXE 실행파일 형태이다.

압축파일 내부에는 기존에 이미 알려진바와 동일하게 마치 어도브관련 업데이트 파일처럼 보이도록 "adobe_update.exe" 파일명으로 설치되도록 제작되어 있다.


악성파일이 실행되면 내부 명령어에 따라서 윈도우 임시폴더(Temp)에 "adobe_update.exe" 악성파일을 설치하고 실행한다. 이때 "IPCONFIG.INI" 파일을 함께 설치해서 피싱사이트가 사용할 IP주소를 설정한다.


또한 이 IP주소 설정파일을 이용해서 호스트파일(hosts)을 수정하여 정상적인 국내 인터넷 뱅킹 사이트가 특정 피싱 사이트로 접속이 변경되도록 수정한다.


210.209.119.183 -> 금융 피싱 IP주소 (변종에 따라 계속 변경)
www.hanabank.com -> 하나은행
www.kbstar.com -> 국민은행
obank.kbstar.com -> 국민은행
pib.wooribank.com -> 우리은행
ibs.kfcc.co.kr -> 새마을금고
banking.shinhan.com -> 신한은행
www.ibk.co.kr -> 기업은행
banking.nonghyup.com -> 농협
mybank.ibk.co.kr -> 기업은행

이렇게 호스트파일이 변경되고 KRBanker 악성파일에 감염되면 이용자가 정상적인 하나은행, 국민은행, 우리은행, 새마을금고, 신한은행, 기업은행, 농협 등에 접속하더라도 피싱 IP 주소인 210.209.119.183 사이트로 연결이 시도된다.

특히, 호스트파일(hosts)을 이용하는 경우 도메인은 정상적인 금융사 사이트처럼 보이기 때문에 육안상으로 가짜 사이트라는 것을 판별하기 어렵다. 더불어 공인인증서(NPKI) 정보 탈취 시도도 동시에 진행한다.

다음은 실제 악성파일에 감염된 상태에서 금융사이트에 접속했을 때 연결되어지는 화면이다. 예전처럼 보안강화서비스나 보안승급서비스라는 문구는 사라졌고, 새롭게 전자금융사기 예방서비스로 둔갑하고 있다.

 


상기 화면을 자세히 들여다 보면, 전자금융 서비스 이용약관 이라는 내용으로 사용자를 현혹하며, 본인확인 절차를 위해서 이름과 주민등록번호 등을 입력하도록 요구한다. 개인정보를 입력 후 확인버튼을 클릭하게 되면 [실명 인증되습니다.] 라는 오타가 포함된 메시지 창이 나타난다.


오타가 포함된 [실명 인증되(->)습니다.]라는 메시지 창의 확인버튼을 클릭하면 다음과 같이 추가적인 개인정보 입력 요구화면이 나오게 된다. 특히, 보안카드의 모든 암호를 입력하게 유도하는 특징을 가지고 있는데, 절대로 금융권에서는 보안카드의 모든 번호를 요구하지 않다는 것을 명심해야 한다.

또한, 잉카인터넷 대응팀에서 테스트 하던 과정 중에 전혀 입력하지 않은 특정 이용자(김지*)의 이름과 주민번호가 화면에 출력되는 이상 증상이 확인되었다. 아마도 피싱 서버의 오류로 보여지며, 실제 누군가 자신의 정보를 직접입력하고 있는 것이 우리쪽 테스트 화면에 보여진게 아닌가 우려가 되는 부분이다.


각 은행별로 감염된 상태의 이미지는 다음과 같다.

[하나은행]


[국민은행]


[우리은행]



[새마을금고]



[신한은행]



[기업은행]


[농협]



3. KRBanker 악성파일 대비

악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.

그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.

[중요]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
http://erteam.nprotect.com/250


A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko

B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/
http://get.adobe.com/kr/reader/

C. JAVA 제품군
http://www.java.com/ko/

그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.

위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 전자금융사기용 KRBanker 2번 사기를 친다.

 

잉카인터넷 대응팀은 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종이 새로운 형태로 진화되고 있는 이상징후를 포착하였다. 2012년 6월 초 부터 변종별로 시리즈가 꾸준히 발견되고 있는 국내 전자금융사기용 악성파일(KRBanker)은 초기 호스트파일(hosts)을 이용하는 방식이 유행한 바 있고, 다음으로 호스트파일을 사용하지 않고 독립적으로 활동하는 방식이 발견된 바 있다. 최근에는 피싱사이트 차단 시간이 짧아지고, 악성파일의 생존시간을 최대화하기 위해서 C&C 서버를 통한 신규 피싱사이트로 자동업데이트 하는 방법 등의 새로운 기술과 결합하여 사용되고 있었다. 그러나 2012년 10월 18일에 발견된 형태는 인터넷 뱅킹을 접속하지 않아도 가짜 메시지 안내창을 출력하여 사용자에게 즉시 인터넷 뱅킹 사이트로 접속하도록 유도하고 있다.

[참고]잉카인터넷 nProtect Anti-Virus 제품군에서는 국내 인터넷 뱅킹용 악성파일 변종들에 대해서 "KRBanker" 이름을 대표 탐지명으로 사용하고 있다. 악성파일 진단명은 우리나라(Korea)와 인터넷 뱅킹용 악성파일(Banker)의 의미를 합성한 용어이다.

Korea + Banker = KRBanker


이는 KRBanker 악성파일이 사용하는 피싱 도메인이 신속하게 차단되자, 공격자들은 악성파일에 감염된 사용자가 피싱사이트가 발각되어 차단되기 이전 시점에 사용자들이 즉시 피싱사이트로 접속하도록 미끼를 사용하는 방식으로 진화했다고 분석할 수 있다.

2. 가짜 메시지 창을 출력하는 악성파일(KRBanker) 변종 등장

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339


이번에 발견된 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종은 한국어 언어용 델파이 프로그램으로 개발되었고, "bbb.exe" 라는 메인 숙주에 의해서 다양하게 설치되는 형태를 가지고 있다.


"bbb.exe" 파일 내부에는 "ad.exe", "Sad.exe" 라는 파일이 포함되어 있다. "ad.exe" 파일도 SFX RAR 파일 형태로 내부에  "Demos.exe", "MyKB.exe" 파일 등이 포함되어 있다.


"ad.exe" 파일 내부에는 KRBanker 변종과 가짜 공인인증서에 사용되는 이미지 등이 포함되어 있다.

 
"1.bmp" 부터 "9.bmp" 파일은 아래과 같고, 각 금융권에서 사용하는 공인인증서 이미지이다.

 


악성파일에 감염된 이후 일정시간이 지나면 다음과 같이 한글로 작성된 가짜 안내 메시지 창이 사용자 컴퓨터 화면에 강제로 출력된다. 악성파일 스스로가 전자금융사기용이라는 점에서 사용자를 2번 속이는 매우 황당한 메시지 창이라 할 수 있고, 그 만큼 최근에 이런 보안위협이 증가하고 있다는 것을 역이용한 것이다.

더불어 안내 메시지 창은 한글 문법상 잘못된 부분은 크게 없어보이나, 일부 잘못된 띄어쓰기가 존재하는 등 매우 어눌한 특징이 있다. 이 부분은 최근까지 발견된 인터넷 뱅킹용 악성파일이 접근시도하는 피싱사이트에서 흔히 접할 수 있었던 공통점 중 하나이다. 이것으로 보아 한글을 구사할 수 있는 사람이 악성파일 제작에 참여하고 있는 것으로 추정된다.

제목 :
전자금융사기 예방서비스 시행안내

내용 :
피싱및 해킹으로인한 금융사기가 지속적으로 발생하고 있습니다.
10월15일 부터 모든 은행권에서 전자금융사기 예방서비스를 시행합니다.
자세한 사항은 각은행 홈페이지에서 확인하시기 바랍니다.

 
악성파일은 다음과 같이 국민은행, 우리은행, 농협, 하나은행, 기업은행, 신한은행, 우체국, 새마을금고 등의 인터넷 뱅킹 사이트를 미국의 특정 피싱사이트 IP주소(184.105.203.52)로 가로채기 하도록 프로그래밍되어 있다.


악성파일 코드를 분석해 보면 내부 리소스에 가짜 공인인증서가 나오도록 한글로 된 여러가지 기능이 포함되어 있다. 실제로 피싱 사이트에서 공인인증서 로그인 시도시 조작된 가짜 공인인증서 화면이 출력되어 사용자로 부터 공인인증서 정보 유출을 시도한다.


이번에 발견된 가짜 공인인증서 화면은 기존보다 훨씬 정교화되었다. 각각의 메뉴와 아이콘을 개별적인 리소스로 사용하였고, 한글 델파이 언어를 통해서 한글도 적절히 사용하였다.

정상적인 공인인증서 로그인 화면과 조작된 가짜 공인인증서 로그인 화면을 비교해 보면, 인증서 메뉴의 문자[구분] 등에서 정렬방식에서 차이가 조금 있고, [인증서보기][인증서 찾기][인증서 삭제]와 [선택한 인증서의 암호를 입력하세요.] 등의 줄 간격이 매우 조금 차이가 날 뿐 육안으로 구분하기 어려울 정도로 정교하게 만들어져 있다.


악성파일이 감염된 상태에서 사용자가 다음과 같은 국내 인터넷 뱅킹 사이트를 접속할 경우 가짜 피싱사이트 IP주소(184.105.203.52)로 접속이 변경된다. 그러나 사용자의 인터넷 웹 브라우저 주소에는 정상적인 인터넷 뱅킹 도메인 주소가 보여지기 때문에 사용자는 가짜 사이트인지 육안으로 판단하기가 쉽지 않다.


은행별로 피싱 IP주소(184.105.203.52)와 포트가 매칭되도록 만들어져 있으며, 해당 IP주소는 공격자가 언제든지 변경해서 사용할 수 있으므로, 지속적인 탐지와 차단이 요구된다. 피싱 IP 주소는 미국의 호스트에서 사용하는 곳이다.


kbstar.com (국민은행)
http://184.105.203.52

wooribank.com (우리은행)
http://184.105.203.52:81

banking.nonghyup.com (농협)
http://184.105.203.52:82/

keb.co.kr (외환은행)
http://184.105.203.52:83/

hanabank.com (하나은행)
http://184.105.203.52:84/

mybank.ibk.co.kr (기업은행)
http://184.105.203.52:85/

http://www.ibk.co.kr/ (기업은행)
http://184.105.203.52:86/

banking.shinhan.com (신한은행)
http://184.105.203.52:87/

epostbank.go.kr (우체국)
http://184.105.203.52:88/

ibs.kfcc.co.kr (새마을금고)
http://184.105.203.52:89/

보통 최근에 많이 발견되는 피싱은 시중 금융권이 사용하는 인터넷 뱅킹 도메인과 유사한 방식으로 사용자를 속이는 방법이 많이 사용된다. 하지만 이 방식은 실제 정상적인 인터넷 뱅킹 주소가 보여진다. 따라서 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종에 감염된 경우 다음과 같이 국민은행에 접속하면 정상적인 도메인으로 연결이 된다. 악성파일은 사용자가 국민은행에 접속된 것을 인지하고, 사용자가 [로그인] 버튼을 클릭시도하게 되면 피싱사이트로 IP주소를 가로채기 시도하기 때문에 육안상으로 확인가능한 도메인 주소만으로 진짜 및 가짜 여부를 판단하기는 거의 불가능하다.


피싱사이트로 접속이 이루어지면, 기존과 동일하게 보안승급(강화)서비스라는 명목으로 사용자 정보입력을 유도하고, 가짜공인인증서 화면 등을 통해서 인증서 정보 탈취를 시도한다.


기타 다른 은행과 관련된 피싱사이트들도 유사한 방식으로 사용자들의 금융정보 탈취를 시도한다.

 






 

 

3. 국내 인터넷 뱅킹용 악성파일 대비

악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.

국민은행에서는 다음과 같이 금융사기 주의 안내 공지를 제공하고 있다.


그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.

[중요]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
http://erteam.nprotect.com/250


A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko


B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/ / http://get.adobe.com/kr/reader/

C. JAVA 제품군
http://www.java.com/ko/

그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.

위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect