1. 하데스라는 특정 도메인에서 국내 인터넷 뱅킹용 악성파일 유포


잉카인터넷 대응팀은 2012년 05월 경부터 인기리에 방송됐던 SBS 드라마 "유령"의 주인공 역이었던 하데스(Hades)의 이름을 딴 특정 도메인에서 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종이 유포 중인 것을 발견했다. "유령"은 컴퓨터 범죄 수사대의 애환과 활약을 그렸던 드라마로 사이버상의 보안위협을 사실적으로 묘사하였고, 0 과 1 사이에 숨겨져 있는 다양한 디지털 증거의 중요성과 각종 사이버 범죄의 위험성을 알리는데 긍정적 효과를 거두었다. 그러나 국내 인터넷 뱅킹용 악성파일 유포 조직이 하데스라는 이름의 도메인에서 실제 위협요소로 작용할 수 있는 악성파일을 유포하고 있다는 점에서 이용자 주의가 필요하고, 유사한 도메인을 목격하거나 미심쩍은 사이트로 접근시에는 세심한 대비가 필요해 보인다.

또한, 최종적으로 설치되는 악성파일이 주도면밀하게도 "ahnlab.exe" 이름의 파일명으로 설치되고 있는데, 이는 마치 안랩(ahnlab)과 관련된 파일처럼 위장하여 사용자로 하여금 최대한 신뢰하도록 유도하기 위한 사기수법이라 할 수 있다. 공격자가 나름 치밀하게 은폐시도를 했다는 점에서 잠재적 보안위협으로 잔존할 가능성도 염두에 둘 필요가 있다.

[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체
http://erteam.nprotect.com/385

[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
http://erteam.nprotect.com/383

[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
http://erteam.nprotect.com/258


2. 악성파일 특징 분석

해당 악성파일은 마치 SoftCamp Secure KeyStroke Uninstall 프로그램처럼 교묘히 위장한 악성파일에 의해서 설치되는데, 실제와 똑같을 정도로 아이콘과 문구 등을 모방하였다. 하지만 악성파일에는 등록정보에 "디지털 서명" 등이 포함되어 있지 않고, 저작권 부분이 정상파일과 다소 다른 것을 확인할 수 있다. 또한, 악성파일은 코드 내부적으로는 분석 및 탐지방해 목적 등으로 ASPack 프로그램으로 실행압축이 되어 있다.

정상파일과 악성파일의 등록정보를 비교해 보면 아래와 같고, 육안상으로 가짜를 구분하기 어려울 정도로 매우 비슷하게 제작된 것을 알 수 있다.

 


국내 금융사이트 등에서 서비스 중인 키보드 보안프로그램 처럼 위장한 "UNInstSCSK.EXE" 악성파일의 내부를 분석해 보면 하데스(Hades)라는 도메인명을 사용하는 특정 사이트에서 추가적인 악성파일을 설치하도록 제작되어 있는 것을 확인할 수 있다.


사용자 몰래 다운로드되어 추가 설치되는 악성파일은 SFX 7-Zip 형태의 압축파일로 내부에는 "ahnlab.exe", "ahnlab.ini" 파일 등이 포함되어 있고, 실행되면 윈도우 임시폴더(Temp)에 설치한다.



"ahnlab.ini" 파일 내부에는 피싱(파밍)사이트의 IP 주소값을 가지고 있으며, 호스트파일(hosts)을 변조할 때 이용하게 된다. 악성파일이 작동하게 되면 아래와 같이 호스트파일(hosts)의 값을 변경하여 국내 금융사이트 도메인에 접속시 가짜 사이트로 연결되도록 IP 주소를 설정한다.


이외에도 악성파일을 유포하고 있는 하데스 관련 도메인을 분석한 결과 악성파일 제작자는 여러 유사 도메인을 만들어서 다양한 악성파일을 배포하고 있는 정황도 포착된 상태이다.

3. 피싱 사이트 진위 여부 판단법

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/

 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 전자금융사기 방심은 절대금물


사자성어 중에 지부작족(知斧斫足)이라는 말이 있다. "믿는 도끼에 발등을 찍힌다"는 뜻으로, 믿었던 것에 배신을 당한다는 것을 비유적으로 표현한 말이다. 2012년부터 수개월간 실제 인터넷 뱅킹 사이트처럼 정교하게 조작된 피싱사이트로 연결시키는 전자금융사기용 악성파일(KRBanker)들이 여전히 기승을 부리고 있는 가운데 보안업체 및 금융권에서는 전자금융사기에 대한 주의 환기를 지속적으로 안내하고 있다. 평소처럼 자신이 믿고 접속했던 인터넷 뱅킹 사이트가 사이버 범죄자들이 만든 피싱 사이트로 교체되고, 신뢰한 후 스스로 입력했던 금융정보가 모두 외부로 무단 유출되었다면 그 만큼 아찔한 순간은 없을 것이다. 최근 전자금융사기 범죄자들은 이러한 분위기를 역이용해서 마치 금융보안 서비스처럼 교묘하게 모방하고 사칭한 사기수법을 총 동원하고 있다.



이번에 새롭게 발견된 방법은 금융 보안위협이 증가하자 마치 금융권에서 제공하는 공식적인 보안서비스처럼 위장하고 있다. 그중 최근 발견된 특징적 수법으로 "금융자산예방서비스"라는 조작된 메시지창을 출력하고 사용자들을 현혹시켜 금융정보를 피싱사이트에 입력하도록 유인하고 있다. 

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

2. 보안카드 암호 전체 입력을 요구할 경우 100% 사기

이번에 발견된 악성파일은 국내 유머관련 특정 웹 사이트가 해킹되어 보안취약점을 이용했고, 접속하는 불특정 다수의 사용자에게 악성파일(KRBanker)을 무차별적으로 감염시켰다. 악성파일은 마치 안랩 V3 제품의 아이콘처럼 위장하고 있으며, 파일의 등록 정보(속성)에는 이스트소프트사의 알툴즈 업데이터 프로그램처럼 위장하고 있다.

또한, 프로그램은 중국어로 개발된 것을 확인할 수 있다.


악성파일이 작동되면 이용자의 호스트파일(hosts)을 변조시켜, 정상적인 금융권 웹 사이트에 접속하더라도 피싱 IP 주소로 연결되도록 만든다.


악성파일에 감염되었을 때 보여지는 피싱사이트 화면은 전국은행연합회 사이트에서 팝업으로 공지(http://www.kfb.or.kr/popup/120903.htm)하고 있는 전자금융사기 예방서비스 화면을 교묘히 악용하고 있다. 사이버 범죄자들은 실제 서비스 중인 다양한 전자금융사기 예방서비스용 안내 화면을 정교하게 모방하고 조작해서 이용자들을 현혹시키고 있다.

악성파일에 감염된 상태에서 국내 인터넷 뱅킹 웹 사이트에 접속하면 사용자 몰래 금융 피싱사이트로 변경되고, 아래와 같이 전자금융사기 예방시스템 신청으로 사칭한 팝업창이 나타나게 된다.


조작된 이 팝업 화면을 이용한 악성파일(KRBanker)은 시티은행, 기업은행, 하나은행, 국민은행, 외환은행, 농협, 신한은행, 우리은행 등의 피싱사이트에 각각 이용되었다.


악성파일(KRBanker) 변종에 감염된 상태에서 각 금융권 사이트는 접속시 피싱사이트로 바꿔치기 되며, 팝업 공지문으로 사칭한 내용들이 보여지게 된다.


또한, 아래와 같이 별도의 메시지 창을 띄어 금융자산예방서비스를 실행 후 사용하라는 안내화면을 보여준다.

피싱및 해킹(전화금융사기)인한 금융사기가 지속적으로 발생하고 있습니다.
11월 18일부터 모든 은행권에서 전자금융사기 예방서비스를 시행합니다.
금융자산예방서비스를 실행후 사용해주세요.


메인 화면의 팝업창을 통해서 금융 피싱사이트에서는 사용자의 개인 금융정보 입력을 본격적으로 유도하게 된다. 각 금융권에 따라 실제처럼 보이도록 정교하게 디자인된 화면이 보여지게 된다.

첫 화면에서는 이름, 주민번호, 휴대폰번호, 계좌번호, 계좌 비밀번호, 사용자 아이디, 이체 비밀번호 등의 과도하게 많은 금융정보를 1차로 입력하도록 현혹시킨다.


이어서 다음단계에서는 가장 중요한 보안카드의 일련번호와  전체 비밀번호를 입력하도록 유도한다. 어떠한 경우라도 정상적인 금융권에서는 보안카드의 일련번호와 모든 번호를 요구하는 경우는 절대 없으므로, 이런 유사한 정보요구를 목격하게 되면 100% 전자금융사기라는 점을 명심해야 한다.

거듭 강조하지만 국내 어떤 금융권에서도 금융보안서비스 가입을 명목으로 보안카드의 일련번호와 비밀번호 전체를 입력하도록 요구하는 경우는 절대 없다. 따라서 이용자들은 보안카드의 전체 비밀번호를 입력요구하는 화면을 보게 될 경우, 즉시 입력을 중단하고 관계 금융기관이나 잉카인터넷 대응팀(isarc@inca.co.kr)으로 신고를 하여 적절한 보안 조치를 받는 것이 필요하다.


보안카드의 모든 정보가 입력되면, 사이버 범죄자들에게 매우 중요한 금융정보가 무단유출되며, 아래와 같이 마치 정상적으로 예방서비스에 가입된 것처럼 화면을 보여준다. 이곳에는 [가입돠였습니다] 라는 오타가 포함되어 있는 특징이 있다.

 


3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 육안상으로 진위여부를 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 개 요


국내 주요 은행사의 인터넷뱅킹 서비스와 유사한 사이트 화면을 출력하여 계좌 정보 등을 탈취하는 악성파일이 최근 정보 탈취 방법을 수정한 변종의 출현과 함께 다시한번 이슈가 되고 있다. 이번에 발견된 해당 악성파일은 감염 시 피싱 사이트 목록에 시티은행을 추가하는 것이 기존의 다른 변종들과 큰 차이점이라 할 수 있다. 해당 악성파일은 hosts 파일을 변조하여 사용자가 특정 은행사의 인터넷 뱅킹 사이트에 접속시 이를 감지해 실제로는 악성파일 제작자가 미리 준비해 놓은 사이트로 접속을 시도 하게 된다. 

해당 사이트는 실제 은행 사이트와 매우 유사하게 제작되어 있어 일반 사용자들은 쉽게 현혹될 수 있으며, 정보 탈취를 위해 출력되는 팝업창에 각종 계좌 정보의 입력을 유도하는 등 사용자로 하여금 금전적인 피해를 유발할 수 있다.

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

2. 정보 탈취 방법의 변화

이번에 발견된 일명 KRBanker(Korea + Banker)의 새로운 변종은 기존에 출현했던 변종들과 비교하여 아래의 사항들과 같은 변경점들이 존재한다.

※ 전체 변경 사항

- 정보 탈취를 위해 유도되는 팝업창의 변화 (사이트 접속시 바로 피싱을 위한 경고창 등 출력)
- 생성되는 파일 목록 및 내용의 변화 (wmplayer.ini : 접속 시도 IP -> 버전정보)
- 알약 모듈로 위장
- 금융 피싱 사이트 목록 추가 (시티은행)


우선, 해당 악성파일이 다운로드 되면 아래의 그림과 같이 이스트소프트 알약 또는 알툴즈 업데이터와 관련된 아이콘으로 위장되어 있음을 확인할 수 있다.



이미지와 함께 파일명, 그리고 속성까지 정상적인 알약 모듈인것 처럼 위장하고 있다. 또한 기존과 같이 델파이로 제작되어 있으나, 실행 압축 형태로 제작되지는 않았으며, 생성되거나 변조되는 파일의 목록은 아래와 같다.

※ 생성 및 변조 파일 목록

- (프로그램 폴더)\Windows Media Player\wmplayer.ini (21 바이트)
- (윈도우 시스템 폴더)\drivers\etc\hosts (1,528 바이트)


특히, 이번에 발견된 변종의 경우 새롭게 "시티은행"이 추가된 점이 주목할만 하다. 아래의 그림은 시티은행이 피싱 목록에 포함되어 있음을 확인할 수 있는 변조된 hosts 파일의 전체 리스트이다.


아래는 이스트소프트 모듈로 위장하는 추가적인 KRBanker 변종이 가지고 있는 피싱 목록이다.

 


또한, hosts 파일이 변조되면서 윈도우 미디어 플레이어 폴더에 아래의 그림과 같은 wmplayer.ini 파일을 생성하게 되는데 내부에는 이전과 같은 IP정보가 아닌 특정 버전 정보가 입력되어 있다.


◈ 감염 후 실제 은행 사이트 접속 시 피싱 화면

이번에 발견된 KRBanker의 새로운 변종은 특정 은행 인터넷뱅킹 사이트에 접속하자 마자 아래의 이미지와 같이 피싱 및 해킹 등과 같은 금융피해 예방 차원이라는 안내 팝업창과 함께 계좌 정보의 탈취를 시도하는 것이 특징이다.

[기업은행]



[외환은행]




[시티은행]




[우리은행]



[하나은행]


[농협]


감염 후 특정 은행 사이트 접근 시 접속되는 피싱 IP주소(110.34.231.150)는 언제든지 변경될 수 있으며, 해당 IP의 주소는 아래의 그림과 같이 현재 대만으로 확인되고 있다.


3. KRBanker 예방 조치 방법

최근 스마트폰을 비롯하여 금융관련 보안 사고가 지속적으로 보고되고 있다. 가장 최근인 금일에는 뉴스매체를 통해 계좌 정보, 공인인증서 정보 등의 대량 탈취로 인해 발생한 것으로 추정되는 소액결제를 통한 상당 금액의 금융피해 건이 보고된 바 있다.

국내 사정에 정통한 악성 파일 제작들에게 더이상 국내 대다수의 사용자들을 대상으로 악성 파일의 유포를 시도하는 것은 어려운일이 아닐 수 있다. 더불어 위와 같이 특정 은행사 인터넷뱅킹 사이트와 유사한 사이트를 제작하여 정보 탈취를 시도한다면 일반 사용자들은 별다른 의심없이 쉽게 현혹되어 자신의 계좌 정보 등을 입력하여 악성 파일 제작자에게 전송하게 될 것 이다.

애초부터 사용자들을 속여 자신들의 목적을 이루기 위해 제작되는 악성 파일들은 사용자들이 육안상으로 식별해 내기란 매우 어려우며, 취약점이 존재하는 웹 사이트 접속만으로도 쉽게 감염될 수 있다. 때문에 이러한 KRBanker의 변종들로 부터 안전한 인터넷뱅킹 등 금융관련 서비스 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 당신의 예금을 노리는 악성파일 활개


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들의 심리를 교묘히 파고들고 있는 악성파일류(KRBanker)의 보안위협이 나날이 증가하고 있다는 사실을 여러차례 강조한 바 있다. 현재 전자금융 보안위협은 아무리 강조해도 지나치지 않을 정도로 위험수위가 매우 높아지고 있는 상황이고, 사용자 예금의 불법인출 피해와도 직결되는 문제이다. 수 년간 많은 피해자가 발생하는 전화금융 사기(보이스피싱:Voice Phishing)와 다량으로 유출된 국민들의 개인정보를 악용하고 불특정 다수에게 금융정보 피싱용 도메인을 무단으로 배포하는 문자금융 사기(SMS Phishing)는 사회적인 문제 중에 하나이다. 이렇게 변모된 전자금융 보안위협은 본격적인 진화에 진화를 거듭하여 악성파일과 결합한지 수 개월이 지났고, 호스트파일(hosts)을 이용했던 초기와 달리 지금의 악성파일은 실시간으로 피싱 도메인을 자동 업데이트할 수 있도록 지능화되고 있는 형국이다.



특히, 과거부터 다년 간 국내 웹 사이트를 불법해킹하여 온라인 게임 계정탈취용 악성파일을 유포해온 조직들이 집중적으로 KRBanker 변종을 유포하기 시작했다는 점은 앞으로 일정기간 보안패치가 존재하지 않는 Zero-Day 공격이나 무차별적인 Malware Network 기반을 통한 전방위적 유포확산의 가능성이 이미 현실화되었다는 점을 증명하는 것이다.

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

2. 계속 되살아나는 좀비형 금융 피싱사이트

최근 발견되고 있는 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종들은 국내 보안업체, 금융권 및 정부 유관기관들이 공조하여 신속하게 금융 피싱사이트를 발견하고 차단시키자 스스로 실시간 업데이트 할 수 있는 기능을 탑재하여 사용하기 시작했다. 악성파일 유포조직들은 일종의 치고 빠지기 수법과 일정기간의 잠복기간을 이용해서 자신의 노출을 최대한 숨기고자 하는 의도를 가지고 있고, 한번 감염시킨 악성파일의 생존기간을 최대한 길게 유지하기 위해서 다각적인 기법을 도입하고 있다. 이들의 변화하는 행태를 집중 모니터링한 바에 의하면 앞으로 기존 악성파일들이 사용했던 기술들을 하나 둘 씩 추가할 것으로 우려된다.

악성파일 유포조직들은 먼저 사용자들의 허술한 보안상태와 사회공학적인 심리를 역이용해 사용자 몰래 컴퓨터에 1차 침입 시도한다. 가장 광범위하게 이용되고 있는 방식은 사용자가 많은 정상 웹 사이트의 설치프로그램을 해킹해서 정상기능의 프로그램에 악성파일을 몰래 추가하는 방식과 방문자가 많은 언론, 웹하드, 기업, 커뮤니티 등 다수의 특정 웹 사이트 자체를 불법 해킹하여 보안이 취약한 사용자가 접속 즉시 자신도 모르게 감염되도록 하는 방법이 동원되고 있다. 따라서 보안관리가 허술한 이용자는 자신이 이런 전자금융사기용 악성파일에 감염된 것을 바로 인지하고 능동적으로 대처하기가 생각보다 쉽지 않다.

물론, 이러한 악성파일을 신속하게 발견하고 제거하기 위해서 국내 많은 보안업계와 유관기관들이 꾸준히 노력하고 있고, 수 많은 금융피싱 사이트가 수시로 발견과 차단이 반복되고 있을 정도로 보안위협의 실효적 가능성은 급격히 증가하고 있다. 이에 따라 사이버 범죄자들도 금융 피싱도메인으로 접속되도록 유도하는 악성파일에 나름의 자동업데이트와 생존법칙을 추가하는 등 다양한 자구책을 모색하는 추세이다. 

다음 화면은 KRBanker 종류의 악성파일 변종이 접속 시도하는 C&C(Command and Control) 서버로 발각된 피싱사이트가 국내 ISP(Internet Service Provider)기관의 협조로 접속이 차단되면 공격자의 명령에 따라서 피싱 도메인 주소가 실시간으로 변경되도록 구성한 곳이다. 따라서 피싱 도메인은 계속해서 스스로 자동 업데이트가 가능하고, 악성파일의 생존기간은 그 만큼 길어져 이른바 좀비(Zombie)처럼 죽여도 죽여도 되살아나는 오뚜기 역할을 수행할 수 있게 된다.

텍스트 형식으로 구성된 "j.txt" 파일은 일종의 원격 명령파일로 | 기호로 접속 사이트를 구분한다. 악성파일(KRBanker)에 감염된 사용자가 앞단의 정상적인 금융권 도메인 접속조건이 일치하면 뒷단의 금융 피싱사이트로 접속되도록 만들며, 뒷단의 피싱 사이트는 공격자의 명령에 따라서 언제든지 변경될 수 있고, 현재 계속해서 변경되고 있는 상황이다.

잉카인터넷 대응팀은 해당 C&C 정보를 유관기관에서 확인할 수 있도록 공유하여, 실시간으로 변경되는 금융 피싱사이트가 신속하게 차단될 수 있도록 자료를 공개한 상태이다.

3. 기억하세요! 인터넷 뱅킹 보안승급(강화) 서비스는 모두 사기

다음은 악성파일(KRBanker)에 감염된 경우 정상 사이트에 접속해도 피싱사이트로 변경되도록 만든 후 보안승급 또는 보안강화 서비스로 유혹하여 금융 개인정보를 입력하게 유도하고 탈취하여 예금 인출을 시도하는 피싱 웹 사이트이다. 인터넷 뱅킹 이용자들은 아래 화면을 반드시 숙지하여 유사한 보안위협에 노출되지 않도록 유심히 살펴보도록 하자.

실제 금융사의 도메인과 매우 유사하게 사칭한 형태가 계속 사용되고 있으며, 보안승급이나 보안강화라는 존재하지 않는 서비스 명목으로 개인금융 정보와 보안카드 일련번호를 포함한 모든 보안카드 개별 암호를 입력하게 유도하는 것이 공통적인 사기 수법이다. 전자금융사기 범죄자들은 이런 과정을 통해서 편취한 개인금융 정보를 이용해서 공인인증서(NPKI) 등을 불법 재발급하여 은행예금 탈취를 시도하게 된다.

국내 시중의 어떤 금융권에서도 과도하게 보안카드의 모든 번호를 직접 입력하게 하는 경우는 절대로 없다는 것을 절대 명심해야 하고, 유사한 형태는 모두 전자금융사기라는 점을 잊어서는 안된다.

하루아침에 사라진 내 은행예금…`충격` (디지털 타임스)
http://www.dt.co.kr/contents.html?article_no=2012101402019960785002

가짜 은행사이트 피싱 대응법은? (ZDNet Korea)
http://www.zdnet.co.kr/news/news_view.asp?artice_id=20121008141025&type=xml

[국민은행 사칭 피싱 사이트 사례]


 

 


[우리은행 사칭 피싱 사이트 사례]

 


[하나은행 사칭 피싱 사이트 사례]

 


4. 적을 알고 나를 알면 백전백승

악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.

그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.

[중요]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
http://erteam.nprotect.com/250


A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko


B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/ / http://get.adobe.com/kr/reader/

C. JAVA 제품군
http://www.java.com/ko/

그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.

위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
■ 당신의 소중한 예금 밤새 안녕하십니까?

잉카인터넷 대응팀은 2012년 10월 09일 오전, 국내 인터넷 뱅킹 사용자를 노린 악성파일(KRBanker) 변종을 어제에 이어 오늘도 추가 발견하였고, 시시각각 새로운 변종이 제작 시도되고 있는 정황을 포착하였다. 더불어 공격자가 사용하는 중국 서버를 집중 모니터링해 본 결과 수시로 피싱사이트 도메인을 바꿔가면서 변종을 제작하는 것도 확인된 상태이다. 이처럼 최근 수개월 사이에 인터넷 뱅킹용 보안 위협이 가파른 증가 추세를 보이고 있다. 공개된 자료에 의하면 2012년 09월에만 금융 피싱사이트 피해접수가 총 122건에 달하고, 그 피해액은 약 8억 8천만원에 상당한다는 매우 충격적인 내용이 언론을 통해서 일부 알려진 바 있다.


일부 금융 관계자는 전자금융 사기 범죄자들은 낮 시간대에 피싱사이트를 통해 수집한 인터넷 뱅킹 개인정보를 새벽 1시~5시경에 공인인증서(NPKI)를 재발급 받아 예금을 불법적으로 편취하고 있다면서 긴밀한 주의를 당부한 바도 있었다.

※ 악성파일 관련 정보
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340 외 다수

■ 악성파일도 결합상품(?) 시대!

국내 시중은행의 인터넷 뱅킹 사용자만을 전문적으로 노린 악성파일(KRBanker) 제작조직은 유포범위를 확대하기 위해서 국내 웹 사이트를 다량으로 불법 변조하고 보안취약점을 이용한 난독화 스크립트(Exploit Code)를 삽입하여 배포하는 수법을 사용하고 있다. 이외에도 특정 응용프로그램 설치파일에 악성파일을 몰래 포함시키거나 토렌트 파일로 위장하는 등 다각적인 방식으로 악성파일을 불특정 다수에게 유포하고 있다. 특히, 2012년 10월 05일 경 감염사례가 확인된 악성파일(KRBanker)의 한 종류는 수년 전부터 근래까지 국내에 가장 많고 심각한 보안위협 중에 하나로 꼽는 온라인 게임 계정 탈취용 악성파일 유포조직과 결합된 정황이 잉카인터넷 대응팀 역학조사 중에 확인된 상태이다.

온라인 게임 계정 탈취용 악성파일 유포조직은 거의 10년 가까이 국내의 주요 웹 사이트를 과감히 유린해 가면서 끊임없이 악성파일을 유포시키고 있고, 감염기법의 질적인 측면이나 변종제작 수량의 양적인 측면 모두에서 비례적으로 꾸준히 발전하고 있는 대표적인 보안위협 중 하나이다. 공격자들은 이미 다양한 공격 시나리오와 시행착오를 충분히 경험한 바 있고, 고도화된 사이버머니 편취 시스템을 보유한 전문 사이버범죄 조직들이라는 점이고, 그들이 국내 인터넷 뱅킹 사용자를 표적으로 본격적인 공격을 감행하기 시작했다는 점은 국내 보안위협의 양상과 트랜드를 바라보는 측면에서 시사하는 바가 매우 크며, 우리 주변에서 금융계좌 예금인출 사고가 빈번히 발생할 가능성이 점차 현실화되고 위험수위는 계속 높아지고 있다는 점에 주목해야 한다.


아울러 아직도 수 많은 웹 사이트는 보안이 취약하고 관리부재 등의 이유로 광범위한 사각지대에 놓인 상태이다. 많은 악성파일들은 취약한 웹을 통해서 스스로 탄생과 생존을 이어가고 있고, 보안불감증과 최신 취약점을 이용한 공격은 이미 오래전부터 우리 가까이에서 늘 공생을 해나가고 있다.

■ 사이버공간의 은행털이(강도)!

다년간 온라인 게임 아이템을 탈취하여 불법적으로 금전적 이득을 취하고 있는 글로벌 사이버 범죄자들은 지금 이 시간에도 자신의 모습을 숨긴 채 은밀히 활동을 하고 있다. 그들의 목적은 단순 해킹 실력과시나 장난삼아 일회성으로 하는 행동이 절대 아니다. 그들에게 필요한 것은 과거나 현재나 오로지 돈이며, 목적달성을 위해서 수단과 방법을 가리지 않을 것이다.

복면을 하고 공포탄을 쏘면서 실제 은행에 침입하여 경비원을 제압하고 은행업무를 보고 있던 직원으로부터 돈다발을 훔쳐가는 은행털이범은 영화의 한 장면이나 TV뉴스 등을 통해서나 흔히 접할 수 있는 범죄자일지도 모른다. 그러나 인터넷 뱅킹용 악성파일(KRBanker)을 이용한 사이버 공간의 은행털이범은 절대로 가상의 이야기가 아니다. 현재 이시간 우리 가까이 다가와 있다는 것을 반드시 명심해야 하고, 내 계좌에 예치되어 있는 소중한 나의 금융자산을 노리고 있다는 점을 잊어서는 안된다.

여러차례 강조한 바 있지만 전자 금융사기 범죄자들은 보안승급이나 보안강화라는 실제로는 존재하지 않는 허울좋은 명목으로 사용자를 현혹시켜 금융관련 주요 개인정보를 입력하도록 유도하고, 입력된 정보는 범죄자들에게 몰래 전송된다. 따라서 보안승급이나 보안강화와 유사한 문구에 현혹되어 과도한 개인정보를 입력하지 않도록 하며, 의심되는 화면을 보게될 경우 사용하는 각 금융권 고객센터나 한국인터넷진흥원 신고센터 국번없이 ☎118번으로 전화를 하여 상담하면 도움을 받을 수 있다.

■ 보안승급, 보안강화 서비스는 모두 전자금융사기

국내 인터넷 뱅킹용 악성파일에 의해서 접속되는 피싱사이트는 아래와 같이 보안승급 또는 보안강화라는 가짜 서비스를 보여주면서 사용자의 모든 금융정보를 입력하도록 유도한다. 어떤 금융권도 모든 보안카드 번호를 입력하게 하거나 과도한 개인정보를 요구하지는 않는다는 점을 명심해야 한다.


 

  

작성 : 잉카인터넷 ISARC 대응팀장 문종현


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect