1. 보안강화(승급)서비스 -> 전자금융사기예방서비스로 용어 변경


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들을 노린 악성파일(대표진단명:KRBanker) 변종들을 꾸준히 모니터링하고 신속하게 대응하고 있다. 그동안 다양한 KRBanker 악성파일들과 문자 메시지 서비스(SMS)를 이용한 피싱(파밍)시도 등이 공통적으로 이용자들을 현혹시키기 위해서 거짓으로 위장했던 이른바 "보안강화서비스", "보안승급서비스"라는 용어가 변경되기 시작됐다. 최근까지 잉카인터넷 대응팀과 여러 금융 기관들은 보안강화(승급)서비스라는 내용은 모두 존재하지 않는 허위정보라는 점을 여러차례 반복적으로 강조하고 지속적으로 안내하고 있다. 이 때문인지 최근 발견된 KRBanker 악성파일 변종이 꾸준히 사용하던 "보안강화(승급)서비스"라는 용어 대신에 "전자금융사기 예방서비스"라는 문구로 변경된 피싱사이트를 제작하여 사용하기 시작한 정황이 잉카인터넷 대응팀 보안 모니터링 중에 공식 확인되었다.



전자금융 서비스 이용자들은 보안강화(승급)서비스와 더불어 "전자금융사기 예방서비스" 등의 내용에 현혹되지 않아야 하며, 금융사이트에서 과도한 개인정보 입력을 요구하거나 보안카드의 모든 번호를 입력하라는 화면을 볼 경우 무의식적으로 입력하는 오류를 범하지 않도록 각별한 주의가 필요한 상태이다.
 
[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 악성파일 새로운 은행 표적추가
http://erteam.nprotect.com/320

2. KRBanker 전자금융사기용 악성파일 정보

최근 발견된 KRBanker 변종 악성파일은 호스트파일(hosts)을 이용하는 과거 기법의 형태로 발견되었고, 압축파일 자동압축해제 기능(SFX)을 이용해서 만들어진 EXE 실행파일 형태이다.

압축파일 내부에는 기존에 이미 알려진바와 동일하게 마치 어도브관련 업데이트 파일처럼 보이도록 "adobe_update.exe" 파일명으로 설치되도록 제작되어 있다.


악성파일이 실행되면 내부 명령어에 따라서 윈도우 임시폴더(Temp)에 "adobe_update.exe" 악성파일을 설치하고 실행한다. 이때 "IPCONFIG.INI" 파일을 함께 설치해서 피싱사이트가 사용할 IP주소를 설정한다.


또한 이 IP주소 설정파일을 이용해서 호스트파일(hosts)을 수정하여 정상적인 국내 인터넷 뱅킹 사이트가 특정 피싱 사이트로 접속이 변경되도록 수정한다.


210.209.119.183 -> 금융 피싱 IP주소 (변종에 따라 계속 변경)
www.hanabank.com -> 하나은행
www.kbstar.com -> 국민은행
obank.kbstar.com -> 국민은행
pib.wooribank.com -> 우리은행
ibs.kfcc.co.kr -> 새마을금고
banking.shinhan.com -> 신한은행
www.ibk.co.kr -> 기업은행
banking.nonghyup.com -> 농협
mybank.ibk.co.kr -> 기업은행

이렇게 호스트파일이 변경되고 KRBanker 악성파일에 감염되면 이용자가 정상적인 하나은행, 국민은행, 우리은행, 새마을금고, 신한은행, 기업은행, 농협 등에 접속하더라도 피싱 IP 주소인 210.209.119.183 사이트로 연결이 시도된다.

특히, 호스트파일(hosts)을 이용하는 경우 도메인은 정상적인 금융사 사이트처럼 보이기 때문에 육안상으로 가짜 사이트라는 것을 판별하기 어렵다. 더불어 공인인증서(NPKI) 정보 탈취 시도도 동시에 진행한다.

다음은 실제 악성파일에 감염된 상태에서 금융사이트에 접속했을 때 연결되어지는 화면이다. 예전처럼 보안강화서비스나 보안승급서비스라는 문구는 사라졌고, 새롭게 전자금융사기 예방서비스로 둔갑하고 있다.

 


상기 화면을 자세히 들여다 보면, 전자금융 서비스 이용약관 이라는 내용으로 사용자를 현혹하며, 본인확인 절차를 위해서 이름과 주민등록번호 등을 입력하도록 요구한다. 개인정보를 입력 후 확인버튼을 클릭하게 되면 [실명 인증되습니다.] 라는 오타가 포함된 메시지 창이 나타난다.


오타가 포함된 [실명 인증되(->)습니다.]라는 메시지 창의 확인버튼을 클릭하면 다음과 같이 추가적인 개인정보 입력 요구화면이 나오게 된다. 특히, 보안카드의 모든 암호를 입력하게 유도하는 특징을 가지고 있는데, 절대로 금융권에서는 보안카드의 모든 번호를 요구하지 않다는 것을 명심해야 한다.

또한, 잉카인터넷 대응팀에서 테스트 하던 과정 중에 전혀 입력하지 않은 특정 이용자(김지*)의 이름과 주민번호가 화면에 출력되는 이상 증상이 확인되었다. 아마도 피싱 서버의 오류로 보여지며, 실제 누군가 자신의 정보를 직접입력하고 있는 것이 우리쪽 테스트 화면에 보여진게 아닌가 우려가 되는 부분이다.


각 은행별로 감염된 상태의 이미지는 다음과 같다.

[하나은행]


[국민은행]


[우리은행]



[새마을금고]



[신한은행]



[기업은행]


[농협]



3. KRBanker 악성파일 대비

악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.

그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.

[중요]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
http://erteam.nprotect.com/250


A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko

B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/
http://get.adobe.com/kr/reader/

C. JAVA 제품군
http://www.java.com/ko/

그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.

위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


 

저작자 표시
신고
Posted by nProtect
■ 당신의 소중한 예금 밤새 안녕하십니까?

잉카인터넷 대응팀은 2012년 10월 09일 오전, 국내 인터넷 뱅킹 사용자를 노린 악성파일(KRBanker) 변종을 어제에 이어 오늘도 추가 발견하였고, 시시각각 새로운 변종이 제작 시도되고 있는 정황을 포착하였다. 더불어 공격자가 사용하는 중국 서버를 집중 모니터링해 본 결과 수시로 피싱사이트 도메인을 바꿔가면서 변종을 제작하는 것도 확인된 상태이다. 이처럼 최근 수개월 사이에 인터넷 뱅킹용 보안 위협이 가파른 증가 추세를 보이고 있다. 공개된 자료에 의하면 2012년 09월에만 금융 피싱사이트 피해접수가 총 122건에 달하고, 그 피해액은 약 8억 8천만원에 상당한다는 매우 충격적인 내용이 언론을 통해서 일부 알려진 바 있다.


일부 금융 관계자는 전자금융 사기 범죄자들은 낮 시간대에 피싱사이트를 통해 수집한 인터넷 뱅킹 개인정보를 새벽 1시~5시경에 공인인증서(NPKI)를 재발급 받아 예금을 불법적으로 편취하고 있다면서 긴밀한 주의를 당부한 바도 있었다.

※ 악성파일 관련 정보
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340 외 다수

■ 악성파일도 결합상품(?) 시대!

국내 시중은행의 인터넷 뱅킹 사용자만을 전문적으로 노린 악성파일(KRBanker) 제작조직은 유포범위를 확대하기 위해서 국내 웹 사이트를 다량으로 불법 변조하고 보안취약점을 이용한 난독화 스크립트(Exploit Code)를 삽입하여 배포하는 수법을 사용하고 있다. 이외에도 특정 응용프로그램 설치파일에 악성파일을 몰래 포함시키거나 토렌트 파일로 위장하는 등 다각적인 방식으로 악성파일을 불특정 다수에게 유포하고 있다. 특히, 2012년 10월 05일 경 감염사례가 확인된 악성파일(KRBanker)의 한 종류는 수년 전부터 근래까지 국내에 가장 많고 심각한 보안위협 중에 하나로 꼽는 온라인 게임 계정 탈취용 악성파일 유포조직과 결합된 정황이 잉카인터넷 대응팀 역학조사 중에 확인된 상태이다.

온라인 게임 계정 탈취용 악성파일 유포조직은 거의 10년 가까이 국내의 주요 웹 사이트를 과감히 유린해 가면서 끊임없이 악성파일을 유포시키고 있고, 감염기법의 질적인 측면이나 변종제작 수량의 양적인 측면 모두에서 비례적으로 꾸준히 발전하고 있는 대표적인 보안위협 중 하나이다. 공격자들은 이미 다양한 공격 시나리오와 시행착오를 충분히 경험한 바 있고, 고도화된 사이버머니 편취 시스템을 보유한 전문 사이버범죄 조직들이라는 점이고, 그들이 국내 인터넷 뱅킹 사용자를 표적으로 본격적인 공격을 감행하기 시작했다는 점은 국내 보안위협의 양상과 트랜드를 바라보는 측면에서 시사하는 바가 매우 크며, 우리 주변에서 금융계좌 예금인출 사고가 빈번히 발생할 가능성이 점차 현실화되고 위험수위는 계속 높아지고 있다는 점에 주목해야 한다.


아울러 아직도 수 많은 웹 사이트는 보안이 취약하고 관리부재 등의 이유로 광범위한 사각지대에 놓인 상태이다. 많은 악성파일들은 취약한 웹을 통해서 스스로 탄생과 생존을 이어가고 있고, 보안불감증과 최신 취약점을 이용한 공격은 이미 오래전부터 우리 가까이에서 늘 공생을 해나가고 있다.

■ 사이버공간의 은행털이(강도)!

다년간 온라인 게임 아이템을 탈취하여 불법적으로 금전적 이득을 취하고 있는 글로벌 사이버 범죄자들은 지금 이 시간에도 자신의 모습을 숨긴 채 은밀히 활동을 하고 있다. 그들의 목적은 단순 해킹 실력과시나 장난삼아 일회성으로 하는 행동이 절대 아니다. 그들에게 필요한 것은 과거나 현재나 오로지 돈이며, 목적달성을 위해서 수단과 방법을 가리지 않을 것이다.

복면을 하고 공포탄을 쏘면서 실제 은행에 침입하여 경비원을 제압하고 은행업무를 보고 있던 직원으로부터 돈다발을 훔쳐가는 은행털이범은 영화의 한 장면이나 TV뉴스 등을 통해서나 흔히 접할 수 있는 범죄자일지도 모른다. 그러나 인터넷 뱅킹용 악성파일(KRBanker)을 이용한 사이버 공간의 은행털이범은 절대로 가상의 이야기가 아니다. 현재 이시간 우리 가까이 다가와 있다는 것을 반드시 명심해야 하고, 내 계좌에 예치되어 있는 소중한 나의 금융자산을 노리고 있다는 점을 잊어서는 안된다.

여러차례 강조한 바 있지만 전자 금융사기 범죄자들은 보안승급이나 보안강화라는 실제로는 존재하지 않는 허울좋은 명목으로 사용자를 현혹시켜 금융관련 주요 개인정보를 입력하도록 유도하고, 입력된 정보는 범죄자들에게 몰래 전송된다. 따라서 보안승급이나 보안강화와 유사한 문구에 현혹되어 과도한 개인정보를 입력하지 않도록 하며, 의심되는 화면을 보게될 경우 사용하는 각 금융권 고객센터나 한국인터넷진흥원 신고센터 국번없이 ☎118번으로 전화를 하여 상담하면 도움을 받을 수 있다.

■ 보안승급, 보안강화 서비스는 모두 전자금융사기

국내 인터넷 뱅킹용 악성파일에 의해서 접속되는 피싱사이트는 아래와 같이 보안승급 또는 보안강화라는 가짜 서비스를 보여주면서 사용자의 모든 금융정보를 입력하도록 유도한다. 어떤 금융권도 모든 보안카드 번호를 입력하게 하거나 과도한 개인정보를 요구하지는 않는다는 점을 명심해야 한다.


 

  

작성 : 잉카인터넷 ISARC 대응팀장 문종현


저작자 표시
신고
Posted by nProtect