1. 하데스라는 특정 도메인에서 국내 인터넷 뱅킹용 악성파일 유포


잉카인터넷 대응팀은 2012년 05월 경부터 인기리에 방송됐던 SBS 드라마 "유령"의 주인공 역이었던 하데스(Hades)의 이름을 딴 특정 도메인에서 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종이 유포 중인 것을 발견했다. "유령"은 컴퓨터 범죄 수사대의 애환과 활약을 그렸던 드라마로 사이버상의 보안위협을 사실적으로 묘사하였고, 0 과 1 사이에 숨겨져 있는 다양한 디지털 증거의 중요성과 각종 사이버 범죄의 위험성을 알리는데 긍정적 효과를 거두었다. 그러나 국내 인터넷 뱅킹용 악성파일 유포 조직이 하데스라는 이름의 도메인에서 실제 위협요소로 작용할 수 있는 악성파일을 유포하고 있다는 점에서 이용자 주의가 필요하고, 유사한 도메인을 목격하거나 미심쩍은 사이트로 접근시에는 세심한 대비가 필요해 보인다.

또한, 최종적으로 설치되는 악성파일이 주도면밀하게도 "ahnlab.exe" 이름의 파일명으로 설치되고 있는데, 이는 마치 안랩(ahnlab)과 관련된 파일처럼 위장하여 사용자로 하여금 최대한 신뢰하도록 유도하기 위한 사기수법이라 할 수 있다. 공격자가 나름 치밀하게 은폐시도를 했다는 점에서 잠재적 보안위협으로 잔존할 가능성도 염두에 둘 필요가 있다.

[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체
http://erteam.nprotect.com/385

[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
http://erteam.nprotect.com/383

[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
http://erteam.nprotect.com/258


2. 악성파일 특징 분석

해당 악성파일은 마치 SoftCamp Secure KeyStroke Uninstall 프로그램처럼 교묘히 위장한 악성파일에 의해서 설치되는데, 실제와 똑같을 정도로 아이콘과 문구 등을 모방하였다. 하지만 악성파일에는 등록정보에 "디지털 서명" 등이 포함되어 있지 않고, 저작권 부분이 정상파일과 다소 다른 것을 확인할 수 있다. 또한, 악성파일은 코드 내부적으로는 분석 및 탐지방해 목적 등으로 ASPack 프로그램으로 실행압축이 되어 있다.

정상파일과 악성파일의 등록정보를 비교해 보면 아래와 같고, 육안상으로 가짜를 구분하기 어려울 정도로 매우 비슷하게 제작된 것을 알 수 있다.

 


국내 금융사이트 등에서 서비스 중인 키보드 보안프로그램 처럼 위장한 "UNInstSCSK.EXE" 악성파일의 내부를 분석해 보면 하데스(Hades)라는 도메인명을 사용하는 특정 사이트에서 추가적인 악성파일을 설치하도록 제작되어 있는 것을 확인할 수 있다.


사용자 몰래 다운로드되어 추가 설치되는 악성파일은 SFX 7-Zip 형태의 압축파일로 내부에는 "ahnlab.exe", "ahnlab.ini" 파일 등이 포함되어 있고, 실행되면 윈도우 임시폴더(Temp)에 설치한다.



"ahnlab.ini" 파일 내부에는 피싱(파밍)사이트의 IP 주소값을 가지고 있으며, 호스트파일(hosts)을 변조할 때 이용하게 된다. 악성파일이 작동하게 되면 아래와 같이 호스트파일(hosts)의 값을 변경하여 국내 금융사이트 도메인에 접속시 가짜 사이트로 연결되도록 IP 주소를 설정한다.


이외에도 악성파일을 유포하고 있는 하데스 관련 도메인을 분석한 결과 악성파일 제작자는 여러 유사 도메인을 만들어서 다양한 악성파일을 배포하고 있는 정황도 포착된 상태이다.

3. 피싱 사이트 진위 여부 판단법

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/

 

저작자 표시
신고
Posted by nProtect
1. 보안 프로그램처럼 변장한 KRBanker


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자를 겨냥한 피싱용 악성파일(KRBanker) 변종이 마치 안랩(ahnlab) 파일처럼 위장하여 전파 중인 사례를 몇 차례 발견하였다. 해당 악성파일은 종전과 동일하게 인터넷 뱅킹 이용자를 노려 사용자 컴퓨터의 호스트파일(hosts)을 변조하여 정상적인 금융 사이트로 접속을 시도하더라도 피싱 사이트로 연결되도록 하는 기능을 수행한다. 금번 발견된 악성파일의 주요 특징은 윈도우 임시폴더(Temp)에 "ahnlab.exe", "ahnlab.ini" 파일명으로 등록하여, 이용자로 하여금 육안상 정상적인 안랩 보안 모듈처럼 보이도록 사칭한 점이다. 이처럼 전자금융사기용 악성파일이 거의 매일 새로운 형태로 양산되고 있고, 불특정 다수의 국내 인터넷 이용자들에게 무차별적으로 배포되고 있다는 점을 명심하여, 소중한 금융정보와 자산이 안전하게 보호될 수 있도록 개인 보안강화에 힘써야 할 것으로 보인다.

또, 지금까지 발견된 대부분의 전자금융사기용 악성파일(KRBanker)들은 강제로 피싱 사이트로 접속시켜 개인금융 정보를 과도하게 입력하도록 유도하고, 보안카드의 모든 비밀번호를 입력하도록 요구】한다는 공통점을 필히 기억해 둔 다면 유사한 보안위협에 능동적으로 대처할 수 있을 것으로 보인다.



[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!
http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
http://erteam.nprotect.com/293

2. 안랩 모듈로 가장한 악성파일 정보

발견된 유사 악성파일들은 모두 압축프로그램의 한 종류인 7-Zip SFX 형태로 제작되어, 실행시 자동압축해제 기능을 통해서 내부에 포함된 악성파일이 자동적으로 설치되도록 구성되어 있으며, 파일은 중국어 언어로 제작되어 있다.


실행 가능한 압축 파일 내부에는 "ahnlab.exe", "ahnlab.ini", "test.exe" 등의 악성파일이 포함되어 있고, 실행시 윈도우 임시폴더(Temp)에 압축을 해제하고 실행한다.



"ahnlab.exe", "ahnlab.ini" 파일은 사용자 컴퓨터에 존재하는 호스트파일(hosts)파일을 피싱 사이트로 변경하기 위한 기능을 수행하며, "ahnlab.ini" 파일에 포함된 피싱 사이트 IP주소를 이용하게 된다.


"test.exe" 파일이 실행되면 계정명 하위의 임시폴더(Temp)에 마치 시스템 파일처럼 보이도록 유사한 파일명으로 랜덤하게 생성되며, 실행된 직후 파일명을 "시스템 파일명 유사(가변적)_test.tgs" 파일명으로 변경한다. 또, "$$Windows$$.bat" 파일을 생성해서 배치파일을 통해서 스스로 삭제되도록 한다.



실제 프로세스는 실행파일 형태로 작동되지만, 로컬의 파일명이 변경되었기 때문에 분석을 방해하기 위한 목적 등으로 사용될 수 있고, 게임사이트로 위장한 사이트와 연결을 시도한다.


전자금융사기용 악성파일(KRBanker) 변종들이 국내 유명 보안 프로그램처럼 위장하거나 금융보안 프로그램처럼 사칭하여 이용자들에게 전파되는 사례가 속속 발견되고 있다. 전자금융 서비스 이용자들은 신뢰하기 어렵거나 평소와 다른 화면의 웹 사이트의 내용을 접하게 될 경우 유심히 관찰해 보고, 의심스러운 부분이 있다면 관계 금융기관이나 보안업체 등에 전문적인 상담을 받아보는 것이 필요하다.

최근의 전자금융 사기용 피싱사이트들은 나날이 진화되고 있고, 일반 사용자가 육안상 진위여부를 쉽게 가리기 어려울 정도로 정교화되고 있는 추세이다. 따라서 서비스 이용자들은 "피싱 사이트가 공통적으로 보안카드 비밀번호를 모두 입력하도록 유도"한다는 점을 명심하고 기억해 둘 필요가 있다. 또한, 최근에는 스마트 폰이나 태블릿PC 이용자들을 노린 스마트 뱅킹용 피싱 앱까지 등장하고 있어 그 어느때보다 전자금융 보안위협에 대한 적극적 대비가 필요하고, 한치의 소홀함도 없도록 좀더 많은 관심을 가져야 할 때이다.

3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
Posted by nProtect