1. 무료쿠폰, 할인 이벤트 사칭한 단축 URL 클릭 주의보


안드로이드 기반의 국내 스마트 폰 이용자를 노린 소액결제 피해가 급격히 증가하고 있어 사용자들의 각별한 주의가 요구된다. 잉카인터넷 대응팀은 2012년 11월부터 안드로이드 기반의 악성파일(KRSpammer)을 마치 정상적인 앱처럼 위장하여 스마트폰 이용자를 유혹한 후, 단말기에 설치를 유도하고 감염시켜 소액결제 승인문자 메시지(SMS)를 몰래 가로채기하는 방식으로 약 10~30만원 상당의 휴대폰 결제피해를 입히고 있는 악성파일을 지속적으로 발견하고 있는 실정이다. 현재까지 약 20 여종 이상의 변종이 발견되었으며, 새로운 변종이 꾸준히 제작되고 있는 상황이다. 요 며칠 사이 변형된 공격이 끊임없이 발생하고 있으므로, 문자메시지로 수신된 단축 URL 클릭시 세심한 주의가 필요하다.



국내 스마트폰 이용자가 약 3,200만명을 넘어서면서 안드로이드 스마트 단말기반의 악성파일도 비례적으로 증가하고 있다. 특히, 한국내 이용자들을 상대로 한 맞춤형 악성파일 피해가 꾸준히 증가하고 있는 상황이다. 

★ 현재 유명 회사를 사칭해서 변종이 지속적으로 유포 중입니다. 혹시 이와 관련된 문자메시지를 받으시는 경우 isarc@inca.co.kr 주소로 관련 화면정보를 캡처하여 신고해 주시면 신속히 분석하고 대응해 드리겠습니다.

★ 소액결제사기 등 스미싱 원천차단방지 솔루션 "뭐야 이 문자"
http://erteam.nprotect.com/400


[긴급]띵동! 연말정산 환급금 도우미 탈을 쓴 악마앱의 유혹
http://erteam.nprotect.com/392

[주의]이마트, 피자헛, 롯데시네마, 복지알림이, 알약으로 위장한 악성앱의 본색 드러남
http://erteam.nprotect.com/389

[주의]발렌타인데이 모바일쿠폰 위장 신형 안드로이드 악성앱 발견
http://erteam.nprotect.com/388

[주의]허위 햄버거 할인쿠폰 및 이벤트 문자메시지(SMS)의 역습
http://erteam.nprotect.com/386

[주의]롯데리아 앱 위장 KRSpammer 변종 출현!
http://erteam.nprotect.com/361

[칼럼]안드로이드 악성앱, 승인문자 갈취 소액결제 사기범죄 피해증가
http://erteam.nprotect.com/363

[긴급]구글 코리아 신규서비스 및 폰키퍼 사칭 안드로이드 악성앱 (DDoS 기능)
http://erteam.nprotect.com/368

[긴급]국내 이통사 명세서 앱으로 위장한 악성 안드로이드 앱 2종 등장
http://erteam.nprotect.com/359

[긴급]국내 안드로이드 스마트폰 이용자를 노린 보안위협 현실화
http://erteam.nprotect.com/352

[정보]강남스타일로 위장한 안드로이드 악성 앱 발견 주의!
http://erteam.nprotect.com/348

[주의]안드로이드 기반 악성파일 국내 자료실에서 배포
http://erteam.nprotect.com/239

[안내]안드로이드 악성 앱 자동 탐지 & 분석 시스템 개발
http://erteam.nprotect.com/227

악성파일 제작자는 대부분 유명 외식업체, 영화사,  베이커리, 커피전문점, 치킨, 피자 등의 잘 알려진 브랜드의 할인이나 무료쿠폰 등의 문자메시지로 사용자를 현혹시키고, 악성 안드로이드 앱을 설치하도록 유도한다. 사용자가 무심코 문자에 포함되어 있단 단축 URL주소를 클릭하고, 안드로이드 앱을 설치할 경우 악성파일에 감염되어 소액결제 피해를 입게 되는 것이다. 이외에 구글 코리아의 신규서비스를 사칭하여 DDoS 기능의 악성파일이 발견되기도 하였다.

다음 화면은 안드로이드 스마트폰 사용자들에게 배포된 악성파일 설치 유도 문자메시지들이고, 이외에도 방송통신위원회의 스팸차단 프로그램 등의 보안프로그램처럼 위장한 사례도 존재한다. (일부 모자이크 처리)


앞서 공개한 문자메시지(SMS)와 같이 단축 인터넷 주소를 클릭하게 되면 사용자 단말기에 악성 안드로이드 앱(APK)파일이 설치되게 된다. 지금까지 "SmartBilling.apk", "SmartBill.apk". "domino.apk", "coffee.apk", "Lotteria.apk", davinci.apk", "Pizza hut.apk", "mcdonalds.apk", "coffeebean.apk" 등 다양한 변종이 발견되고 있고, 잉카인터넷 대응팀은 20 여종 이상의 변종을 발견한 상태이다.

악성파일들은 다음과 같은 아이콘들을 이용해서 마치 정상적인 앱처럼 위장하였으며, 매우 다양한 형태로 위장하고 있다는 것을 알 수 있다.

 


2. 잠깐의 부주의로 30만원의 과금피해 발생

최근 악성파일 제작자는 연말연시 시즌을 이용해서 각종 이벤트 쿠폰처럼 사칭하여 악성파일을 유포하고 있다는 점을 명심하여야 한다. 공격자들은 발신자 번호와 내용 등을 모두 실제와 같이 모방하기 때문에 사용자가 육안으로 조작여부를 파악하기는 쉽지 않아 피해가 증가하고 있다.

악성앱에 감염이 되면 공격자는 게임 등의 사이트에서 소액결제를 진행하고, 승인문자를 대기한다. 하지만 악성파일에 감염된 스마트폰에는 승인문자 메시지가 사용자에게 보여지지 않도록 숨겨지며, 공격자에게 전송된다. 이렇게 하여 공격자는 외부에서 가로채기한 승인문자를 통해서 정상 승인과정을 진행하여 사용자에게 소액결제 피해를 입히게 된다.

아래는 실제 잉카인터넷 대응팀으로 접수된 피해자분의 소액결제 내역이다. 2013년 01월 05일 오후 5시 경 롯데리아 교환권으로 위장된 안드로이드 악성앱(KRSpammer) 문자 메시지를 받아 감염되었고, 그날 저녁 8시 28분과 35분 두차례에 걸쳐 게임사에서 5만원과 25만원, 총 30만원의 소액결제 피해를 입었다. 최근 이런 피해를 호소하는 이용자가 증가하고 있어 근본적인 대책이 마련되어야 할 것으로 보인다. 


일반적인 휴대폰 소액결제 이용과정은 다음과 같다. 먼저 웹 사이트를 방문하여 구매할 콘텐츠 혹은 상품을 선택하고, 결제 방법으로 휴대폰 결제를 선택한다. 그 다음에 휴대폰 번호와 주민등록번호 등을 입력하게 된다. 자신의 휴대폰으로 결재 승인용 문자메시지(SMS)가 수신되고, 일정 시간내에 결제 화면에 해당 내용을 입력하면 정상적인 승인절차가 완료된다. 결제된 금액은 다음 달 휴대폰 요금고지서에 청구된다.


휴대폰 결제가 진행되지 않는 경우는 휴대폰 번호와 가입자 정보가 일치하지 않는 경우, 미성년자나 법인명의, 분실 및 요금미납 등 고객의 조건 및 요청에 의해서 제한되어 있는 경우, 이동통신사 월 한도액을 초과한 경우 등이다.

이통사별 월 한도액은 SKT가 30/20/12/6/3만원 등으로 고객별로 차등적용되어 있고, KT는 30만원, LGT도 30만원이다. 물론 신규가입 및 번호이동 후 3개월 미만의 고객의 경우 가입당월에는 보통 3~5만원선으로 책정되어 있다.

현재 국내의 많은 웹 모바일 서비스는 문자메시지(SMS)를 이용하여 본인 인증수단으로 활용하고 있다. KRSpammer 악성앱은 이러한 환경에 부합되어 제작되었고, 기존에 유출된 개인정보와 악성앱을 통해서 수집된 단말기의 주요정보를 복합적으로 활용해서 소액결제 서비스 사기를 수행하고 있다. 안드로이드 악성앱은 다음과 같은 절차로 특정 스마트폰 사용자에게 예상하기 어려운 큰 금액의 이른바 휴대폰 요금폭탄 피해를 입히게 될 수 있다.

ⓐ 악성앱(KRSpammer) 제작자는 이미 사전에 수집한 개인정보를 기반으로 특정 사용자들에게 악성앱 설치용 문자메시지를 발송한다.
ⓑ 이용자가 무심코 문자메시지의 단축URL 주소를 클릭하여 앱을 설치시 감염되고, 악성앱(KRSpammer)에 감염된 이용자의 단말기에서 정보를 수집하여 해커의 해외서버로 전송한다.
ⓒ 해커는 게임사이트 등 각종 인터넷 구매사이트 등에서 소액결제 서비스를 진행한다.
ⓓ 구매사이트에서는 결제대행사 등을 통해 본인 인증용 승인 문자번호를 사용자 휴대폰으로 발송한다.
ⓔ 악성앱(KRSpammer)은 실제 사용자에게 수신된 문자번호를 보이지 않도록 조작한다.
ⓕ 악성앱(KRSpammer)은 승인번호 문자메시지를 해커가 지정한 해외 서버로 몰래 전송한다.
ⓖ 서버에 수집된 승인번호를 가로채기하여 정상적인 구매절차를 수행한다.
ⓗ 해커는 적립된 사이버머니 등을 불법적으로 현금화하여 부당이득을 취한다.


평소 휴대폰 소액결제 서비스를 이용하지 않는 경우는 아예 가입중인 해당 통신사에 소액결제금지 요청을 해 두는 것도 하나의 좋은 예방법이고, KRSpammer 안드로이드 악성앱 전파수법처럼 의심스러운 단축 도메인이나 신뢰하기 어려운 안드로이드 앱 설치를 하지 않는 습관도 중요하다. 만약 의도하지 않은 소액결제 피해를 당하게 되면 관할 경찰에 알리거나 해당 통신사에 적극적으로 신고를 하고, 통신사 소액결제 대행업체를 통해 증빙자료를 받은 뒤 해당 통신사의 소액결제 중재센터에 회부를 하면 조건에 따라 일정부분 정상 참작과 보상을 받을 수 있는 경우도 있다고 한다.

이와 같은 스마트폰 소액결제 사기용 악성앱으로 부터 피해를 최소화하고 안전한 이용을 하기 위해서는 nProtect Mobile for Android 와 같은 최신 모바일 보안제품을 설치하여 정기적으로 검사하는 습관을 가져야 한다. 또한, 타인에게 유출 위험이 있는 단순 승인문자 입력 방식을 외부에서 남용하지 못하게 개선하는 노력과 스마트폰 소액결제 서비스시 본인 인증 절차를 보다 강화하고, 의무화 하는 등의 시급한 제도적 개선도 필요해 보인다.


3. 예방 조치 방법

대부분의 악성 애플리케이션은 사용자들이 육안상으로 악성 동작을 확인하기 어려우며, 손쉽게 유포하기 위해 제작자들은 정상적인 애플리케이션으로 위장하게 된다. 또한, 내부에 특정 오류 출력 구문 등을 삽입하여 마치 정상적인 애플리케이션이 오동작을 일으킨것 처럼 위장하고 있는 경우도 있어 일반 사용자들은 이부분에 쉽게 현혹될 수 있다.

방송통신위원회는 최근 스마트폰 소액결제에 대한 민원이 급증하자 피해구제를 위해서는 방통위(http://www.kcc.go.kr) 홈페이지 또는 국민신문고(http://www.epeople.go.kr) 홈페이지를 통해서 민원을 접수해야 한다고 강조한다. 소액결제 한도를 필요한 만큼만 하향조정하고, 콘텐츠 다운로드 및 게임 아이템 요금 결제와 관련해서 이용자들의 세심한 주의가 필요하다고 조언한다.

소액결제피해민원 중재센터
휴대폰소액결제 민원신고 818센터 (
www.sinmungo.org)
방송통신위원회 (www.ekcc.go.kr)
전자거래분쟁조정위원회 (www.ecmc.or.kr)
공정거래위원회 (www.ftc.go.kr)
소비자상담센터 (www.ccn.go.kr)

점차적으로 유포 및 감염에 있어 지능화 되어 가는 안드로이드 악성 앱들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

※ 잉카인터넷(대응팀)에서는 위와 같은 악성 애플리케이션에 대해 아래와 같이 진단/치료 기능을 제공하고 있으며, 보안 위협에 대비하여 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ nProtect Mobile for Android 탐지 진단명

- Trojan-SMS/Android.KRSpammer.A
- Trojan-SMS/Android.KRSpammer.B
- Trojan-SMS/Android.KRSpammer.C
- Trojan/Android.KRSpammer.D
- Trojan/Android.KRSpammer.E
- Trojan/Android.KRSpammer.F
- Trojan/Android.KRSpammer.G
- Trojan/Android.KRSpammer.H
- Trojan/Android.KRSpammer.I
- Trojan/Android.KRSpammer.J
- Trojan/Android.KRSpammer.K
- Trojan/Android.KRSpammer.L
- Trojan/Android.KRSpammer.M
- Trojan/Android.KRSpammer.N
- Trojan/Android.KRSpammer.O
- Trojan/Android.KRSpammer.P
- Trojan/Android.KRSpammer.Q
- Trojan/Android.KRSpammer.R
- Trojan/Android.KRSpammer.S
- Trojan/Android.KRSpammer.T
- Trojan/Android.KRSpammer.U
- Trojan/Android.KRSpammer.V
- Trojan/Android.KRSpammer.W 외 다수


◈ nProtect Mobile for Android 다운로드 URL
https://play.google.com/store/apps/details?id=com.inca.nprotect&feature=nav_result#?t=W10.


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 일회용 비밀번호(One Time Password:OTP) 이벤트로 위장

잉카인터넷 대응팀은 국내 인터넷 뱅킹 서비스 이용자들을 겨냥한 악성파일(KRBanker) 변종이 새로운 형태로 활동하기 시작한 정황을 포착하였다. 이번에 발견된 수법은 악성파일(KRBanker)이 특정 웹 사이트에 접속하여 최신 금융 피싱사이트 정보를 가진 호스트파일(hosts)에 접근하고, 실시간으로 피싱 IP주소를 동적으로 연결하는 형태이다. 명령을 주고 받는 C&C(Command and Control) 서버를 집중 모니터링한 결과 시간차에 따라 공격자의 명령이 가변적으로 수행되며, 피싱 IP 주소가 변화되는 것을 직접 확인한 상태이다. 

기존에도 국내 웹 사이트를 불법 해킹해서 C&C 서버와의 통신을 이용한 호스트파일의 자체 업데이트 기법이 보고된 바 있었지만, 이번 악성파일은 기존과 다른 변종으로 분류된 상태이다. 더불어 웹 사이트에 등록된 스크립트 파일을 이용해서 감염된 사용자에게 일회용 비밀번호(OTP) 이용과 전자금융사기 예방서비스 안내 문구처럼 조작된 메시지를 보여주고 있으며, 접속시간에 따라 악성 스크립트를 추가하는 경우도 확인된 상태이다. 



이처럼 국내 인터넷 뱅킹 이용자를 노린 보안위협이 갈수록 심각해지고 있으므로, 조작된 피싱 사이트에 소중한 금융정보를 입력하여 예기치 못한 피해를 입지 않도록 각별한 주의가 요망된다.




2. KRBanker 악성파일 정보

지금까지 보고되는 국내 전자금융사기용 악성파일(KRBanker)들은 대부분 해킹된 웹 사이트에 보안이 취약한 상태로 접근하는 것만으로 감염된다. 따라서 이용자는 자신이 언제 어디서 악성파일에 노출되었는지도 인지하기 어려운 상태이다. 또한, 정상적인 응용프로그램을 변조하거나 일종의 파일공유 서비스인 웹하드, 토렌트 등의 P2P 등을 통해서도 다수 유포된 이력이 있다. 가장 많이 남용되는 취약점으로 마이크로 소프트사의 윈도우 운영체제(OS) 및 응용프로그램(Internet Explorer/Office) Adobe Systems사의 응용프로그램(PDF Reader/Flash Player) Oracle사의 Java 취약점 등이 빈번히 악용되고 있다. 따라서 이용자들은 윈도우 운영체제와 더불어 각종 응용프로그램을 항시 최신 버전으로 업데이트하여 사용하는 보안습관을 가지는 것이 중요하다.

이번에 발견된 악성파일에 감염되면, 변종에 따라 윈도우 폴더에 "swsls.exe" 또는 "svwsls.exe" 등으로 생성되어 작동되며, "HotzT.ini" 파일도 함께 생성된다.


악성파일이 실행되면, 해외의 특정 도메인으로 연결을 시도하며, 해당 사이트에 등록되어 있는 "hosts.txt" 파일 값을 가져온다.

피싱 사이트는 공격자의 제어명령에 따라서 가변적으로 작동하며, 실제 해당 C&C 서버를 모니터링한 결과 시점에 따라 IP 주소가 추가되는 현상이 목격된 상태이다.

더불어 악성파일(KRBanker)은 "8.html" 주소로 접속하여 다음과 같은 가짜 메시지를 출력하여 사용자로 하여금 확인 즉시 인터넷 뱅킹 사이트에 접속하도록 유도하는 수법을 이용하고 있다. 또한, 아이프레임 코드를 이용해서 악의적인 스크립트가 실행되도록 만들기도 한다.


"8.html" 스크립트 코드에 의해서 악성파일은 다음과 같은 메시지를 사용자 컴퓨터 화면에 랜덤하게 보여주게 된다. 일부 띄어쓰기 등이 잘못된 것을 볼 수 있다.

피싱및 해킹(전화금융사기)인한 금융사기가 지속적으로 발생하고 있습니다. 12월17일부터 모든 은행권에서 전자금융사기 예방서비스를 시행하고있습니다.좀더 안전한 이용을 위해 고정된 보안카드보다는 매 32초마다 새로운 난수를 자동 생성하는 일회용비밀번호생성기(OTP) 이용해 주시기바랍니다.


상기와 같은 팝업 메시지를 컴퓨터 작업 중 발생시켜, 사용자로 하여금 피싱 사이트가 차단되기 이전에 즉시 인터넷 뱅킹에 접속하도록 유혹하는 것이며, 이를 통해서 금융 피싱 사이트로 연결시켜 사용자의 중요 금융정보를 신속하게 탈취하기 위한 목적으로 가짜 메시지 창을 보여주는 것이다.

만약 사용자가 정상적인 인터넷 뱅킹 웹 사이트에 접속을 시도하면, 다음과 같이 피싱 사이트로 접속이 이뤄지게 되며, 마치 실제 서비스 중인 전자금융사기 예방서비스(OTP) 무료 가입 이벤트 화면을 보여주고, 사용자의 금융정보 입력을 유도하게 된다.



각 금융 피싱 사이트의 팝업 메시지 부분을 클릭하게 되면 본격적으로 개인 금융정보 입력을 요구하는 화면을 보여주게 된다. 대표로 국민은행을 모방한 피싱사이트 화면은 다음과 같은 과정을 거치게 된다.


이름과 주민번호를 입력하게 되면, 사이버 범죄자들에게 해당 정보가 유출되고, 일회용 비밀번호 생성기 발급신청 내용처럼 조작된 화면을 보여주면서 추가적인 금융정보 입력을 유도하게 된다. 보안카드의 모든 비밀번호까지 입력이 완료되면 금융 보안 프로그램 설치가 필요하다는 메시지 등을 보여주면서 정상적인 금융 사이트로 바꿔주어 사용자로 하여금 피싱 사이트에 정보를 입력했다는 사실을 눈치채지 못하도록 조작한다.





3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.


 


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect