1. 일회용 비밀번호(One Time Password:OTP) 이벤트로 위장

잉카인터넷 대응팀은 국내 인터넷 뱅킹 서비스 이용자들을 겨냥한 악성파일(KRBanker) 변종이 새로운 형태로 활동하기 시작한 정황을 포착하였다. 이번에 발견된 수법은 악성파일(KRBanker)이 특정 웹 사이트에 접속하여 최신 금융 피싱사이트 정보를 가진 호스트파일(hosts)에 접근하고, 실시간으로 피싱 IP주소를 동적으로 연결하는 형태이다. 명령을 주고 받는 C&C(Command and Control) 서버를 집중 모니터링한 결과 시간차에 따라 공격자의 명령이 가변적으로 수행되며, 피싱 IP 주소가 변화되는 것을 직접 확인한 상태이다. 

기존에도 국내 웹 사이트를 불법 해킹해서 C&C 서버와의 통신을 이용한 호스트파일의 자체 업데이트 기법이 보고된 바 있었지만, 이번 악성파일은 기존과 다른 변종으로 분류된 상태이다. 더불어 웹 사이트에 등록된 스크립트 파일을 이용해서 감염된 사용자에게 일회용 비밀번호(OTP) 이용과 전자금융사기 예방서비스 안내 문구처럼 조작된 메시지를 보여주고 있으며, 접속시간에 따라 악성 스크립트를 추가하는 경우도 확인된 상태이다. 



이처럼 국내 인터넷 뱅킹 이용자를 노린 보안위협이 갈수록 심각해지고 있으므로, 조작된 피싱 사이트에 소중한 금융정보를 입력하여 예기치 못한 피해를 입지 않도록 각별한 주의가 요망된다.




2. KRBanker 악성파일 정보

지금까지 보고되는 국내 전자금융사기용 악성파일(KRBanker)들은 대부분 해킹된 웹 사이트에 보안이 취약한 상태로 접근하는 것만으로 감염된다. 따라서 이용자는 자신이 언제 어디서 악성파일에 노출되었는지도 인지하기 어려운 상태이다. 또한, 정상적인 응용프로그램을 변조하거나 일종의 파일공유 서비스인 웹하드, 토렌트 등의 P2P 등을 통해서도 다수 유포된 이력이 있다. 가장 많이 남용되는 취약점으로 마이크로 소프트사의 윈도우 운영체제(OS) 및 응용프로그램(Internet Explorer/Office) Adobe Systems사의 응용프로그램(PDF Reader/Flash Player) Oracle사의 Java 취약점 등이 빈번히 악용되고 있다. 따라서 이용자들은 윈도우 운영체제와 더불어 각종 응용프로그램을 항시 최신 버전으로 업데이트하여 사용하는 보안습관을 가지는 것이 중요하다.

이번에 발견된 악성파일에 감염되면, 변종에 따라 윈도우 폴더에 "swsls.exe" 또는 "svwsls.exe" 등으로 생성되어 작동되며, "HotzT.ini" 파일도 함께 생성된다.


악성파일이 실행되면, 해외의 특정 도메인으로 연결을 시도하며, 해당 사이트에 등록되어 있는 "hosts.txt" 파일 값을 가져온다.

피싱 사이트는 공격자의 제어명령에 따라서 가변적으로 작동하며, 실제 해당 C&C 서버를 모니터링한 결과 시점에 따라 IP 주소가 추가되는 현상이 목격된 상태이다.

더불어 악성파일(KRBanker)은 "8.html" 주소로 접속하여 다음과 같은 가짜 메시지를 출력하여 사용자로 하여금 확인 즉시 인터넷 뱅킹 사이트에 접속하도록 유도하는 수법을 이용하고 있다. 또한, 아이프레임 코드를 이용해서 악의적인 스크립트가 실행되도록 만들기도 한다.


"8.html" 스크립트 코드에 의해서 악성파일은 다음과 같은 메시지를 사용자 컴퓨터 화면에 랜덤하게 보여주게 된다. 일부 띄어쓰기 등이 잘못된 것을 볼 수 있다.

피싱및 해킹(전화금융사기)인한 금융사기가 지속적으로 발생하고 있습니다. 12월17일부터 모든 은행권에서 전자금융사기 예방서비스를 시행하고있습니다.좀더 안전한 이용을 위해 고정된 보안카드보다는 매 32초마다 새로운 난수를 자동 생성하는 일회용비밀번호생성기(OTP) 이용해 주시기바랍니다.


상기와 같은 팝업 메시지를 컴퓨터 작업 중 발생시켜, 사용자로 하여금 피싱 사이트가 차단되기 이전에 즉시 인터넷 뱅킹에 접속하도록 유혹하는 것이며, 이를 통해서 금융 피싱 사이트로 연결시켜 사용자의 중요 금융정보를 신속하게 탈취하기 위한 목적으로 가짜 메시지 창을 보여주는 것이다.

만약 사용자가 정상적인 인터넷 뱅킹 웹 사이트에 접속을 시도하면, 다음과 같이 피싱 사이트로 접속이 이뤄지게 되며, 마치 실제 서비스 중인 전자금융사기 예방서비스(OTP) 무료 가입 이벤트 화면을 보여주고, 사용자의 금융정보 입력을 유도하게 된다.



각 금융 피싱 사이트의 팝업 메시지 부분을 클릭하게 되면 본격적으로 개인 금융정보 입력을 요구하는 화면을 보여주게 된다. 대표로 국민은행을 모방한 피싱사이트 화면은 다음과 같은 과정을 거치게 된다.


이름과 주민번호를 입력하게 되면, 사이버 범죄자들에게 해당 정보가 유출되고, 일회용 비밀번호 생성기 발급신청 내용처럼 조작된 화면을 보여주면서 추가적인 금융정보 입력을 유도하게 된다. 보안카드의 모든 비밀번호까지 입력이 완료되면 금융 보안 프로그램 설치가 필요하다는 메시지 등을 보여주면서 정상적인 금융 사이트로 바꿔주어 사용자로 하여금 피싱 사이트에 정보를 입력했다는 사실을 눈치채지 못하도록 조작한다.





3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.


 


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 개 요


오래 전부터 온라인 게임 계정 탈취 목적의 악성파일이 주말을 이용해 대대적으로 유포되고 있다. 이러한 악성파일 중 감염이 되면 정상적으로 부팅이 진행되지 않는 심각한 피해 증상을 유발하는 종류의 악성파일(ws2help.dll 변조)이 최근 발견되어 사용자들의 각별한 주의가 요망되고 있다. 해당 악성파일은 접속자가 많은 웹 하드 사이트 등을 주요 유포 경로로 사용함과 동시에 다양한 웹 사이트를 변조하여 악성파일 유포 경로로 악용하고 있어 지속적인 대단위 감염 전파도를 보이고 있다.

  

[주의]Melon Player로 위장한 악성파일 유포중
http://erteam.nprotect.com/174

[주의]윈도우 시스템 파일을 교체하는 악성파일 변종 증가
http://erteam.nprotect.com/173

[주의]국내 소셜커머스 웹 사이트 변조로 악성파일 다량 전파
http://erteam.nprotect.com/170

잉카인터넷 시큐리티 대응센터에서는 이러한 변종의 악성파일 증가의 위협을 고려함과 동시에 사전 원천 방어를 목표로 최근까지 유포되었던 악성파일을 정밀 비교 분석하여 유사 기능을 보유한 신/변종들을 ▶추가 패턴 업데이트 없이 사전에 포괄적으로 탐지하고 치료할 수 있는"GD(Generic Detection)" 기능을 제공]하고 있어 ▶별도의 전용백신을 사용하지 않아도, nProtect 제품 사용자들은 이번 부팅 불가 장애가 발생하는 악성파일을 사전에 예방할 수 있으며, 관련 진단명은 아래와 같다.

◎ Trojan/W32.Forwarded.Gen

2. 감염 경로 및 증상

위와 같은 악성 파일들은 주로 웹 하드 사이트, 유명 소셜커머스 사이트, 인터넷 뉴스 사이트 등 사용자가 많은 곳에서 집중적으로 유포되고 있으며 Adobe Flash Player 취약점, MS OS 취약점 등을 사용해 지속적으로 감염 확산 범위를 넓혀가고 있다.

해당 악성파일은 정상적인 웹 사이트를 해킹하여, 웹 관리자 몰래 삽입된 악성 스크립트를 시작으로 다양한 취약점이 복합적으로 사용되며, 최종적으로 국내외 유명 온라인 게임 사용자들의 계정 탈취 기능을 보유한 악성파일의 다운로드 및 실행을 시도하는 방식의 감염 형태를 보이고 있다.

최근에 유포된 악성파일에 감염 시 악성파일의 비정상적인 작동에 의하여 아래와 같은 부작용이 발생할 수 있다.

a. 인터넷 익스플로러 강제 종료 현상 (인터넷 뱅킹 사용 불편)
b. 컴퓨터 실행 속도의 저하
c. 블루 스크린(BSOD) 발생
d. 무한 재부팅 현상 발생
e. 안전모드 부팅 불가


아래의 그림은 해당 악성파일 유포에 사용되었던 악성 스크립트 코드 및 SWF 파일 내부의 코드이다.

▣ 기존과 동일한 감염 증상
  

■ 악성 SWF 파일 및 스크립트 내부 코드

 

  

위 그림을 살펴보면 해당 악성파일이 CVE-2011-2110 취약점을 사용한 것을 확인할 수 있으며, 최종적으로 아래와 같은 악성파일을 다운로드하게 된다.


위와 같은 악성파일이 다운로드된 후 실행되어 감염이 이루어지면 아래의 그림과 같은 악성파일을 생성하며, 해당 악성파일은 실제로 특정 온라인 게임 계정 정보를 탈취할 수 있는 악성파일을 생성하게 된다.


※ 생성 파일

 - (윈도우 시스템 폴더)\ws2help.dll (33,611,784 바이트, 악성파일)
 - (윈도우 시스템 폴더)\ws3help.dll (19,968 바이트, 정상파일)
 - (윈도우 시스템 폴더)\(년월일시분초).dll (19,968 바이트, 정상파일)

위에서 설명한 생성 파일들은 정상파일을 포함하고 있으며, 아래의 그림을 참고하면 좀 더 이해가 쉬울 것이다.


ws2help.dll 파일이 정상적인 윈도우 시스템 파일명이다. 위 그림을 살펴보면 알 수 있듯이 악성파일이 정상 파일을 ws3help.dll로 파일명을 변경한 후 자신이 정상 파일명을 도용해서 사용하고 있다.

 BSOD 발생, 무한 재부팅 반복 증상

위에서 설명한 일종의 감염 과정을 거치게 되면 특정 온라인 게임 계정 정보를 탈취할 수 있는 악성파일에 최종적으로 감염될 수 있다.
 
다만, 이번에 발견된 변종의 경우 감염 과정이 위와 같이 모두 완료된 후 재부팅을 시도하게 되면 아래의 그림과 같은 블루스크린 화면을 보여줄 수 있다.


또한, 해당 블루스크린 화면이 출력되면 메모리 로드 과정 중 무한 재부팅 과정이 반복될 수 있으며, 해당 블루스크린 화면 또한 지속적으로 출력될 수 있다.

3. 예방 조치 과정

위와 같은 악성파일은 이미 여러차례 지난 글들을 통해 넓은 감염 범위, 다양한 피해 사례 발생(온라인 게임 계정 정보 탈취, 인터넷 뱅킹 사용시 간헐적 브라우저 종료 현상)등을 언급한 바 있다. 하지만 이번에 발견된 변종의 경우 감염되면 사용자들의 PC가 정상적인 부팅이 어렵게 되어 자칫 PC사용불가 등의 치명적인 피해 사례를 유발할 수 있다.

다만, nProtect 제품군에서는 상단의 글에서 언급했던 바와 같이 "2011-06-23.01 패턴 버전"을 통해 이와 같은 종류의 악성파일들을 신종/변종에 상관없이 모두 진단/치료가 가능한 "Generic 진단/치료 기법"을 엔진에 탑재하여 배포하고 있다.

기존의 nProtect 제품군을 이용하던 사용자들은 최신 엔진 및 패턴 버전(2011-07-05.01) 업데이트만으로도 위와 같은 악성파일 감염으로 부터 안전할 수 있으니 반드시 최신 엔진 및 패턴 버전을 유지할 수 있도록 하자.

물론 해당 악성파일에 미리 대처하지 못해 감염되었다고 해도 포멧 등의 극단적인 방법으로 PC를 정상적으로 복구할 필요는 없다. 만일 해당 악성파일에 감염된 PC가 있을 경우 아래의 복구 방법을 참고하여 정상 사용이 가능한 상태로 복구할 수 있도록 하자.
  

▣ 감염 후 복원 방법

1. 복구를 위해서는 Windows 설치 CD가 필요하다. Windows 설치 CD를 CD-ROM에 삽입한 후 재부팅을 하면 "Press any key to boot from CD..."와 같은 메시지가 화면에 출력된다. Enter Key를 입력한다.


2. 아래의 그림 처럼 "Windows 설치를 복구하려면, <R>키를 누르십시오." 와 같은 메세지 화면이 출력되면 <R> 키를 입력한다.


3. 복구콘솔 화면으로 진입하게 되면 아래의 그림과 같은 화면이 출력된다.


먼저, 로그온할 Windows 설치 선택 부분에 "1" 을 선택한 후 Enter Key를 누른다. Administrator 암호가 설정되어 있을 경우 해당 암호를 입력하고, 암호가 없을 경우 Enter Key를 누른다.

4. 아래의 명령어를 순서대로 입력한다.

※ 입력 명령어

  - "del ws2help.dll" (악성파일 삭제)
  - "ren ws3help.dll ws2help.dll" (정상파일의 파일명을 원래대로 복원)
  - "exit" (종료)

5. 위와 같은 방법을 진행한 이후 다시 시스템 재부팅을 진행하도록 한다.
  

악성파일에 감염되어 치료를 진행하는 것은 이미 사용자의 입장에서는 어느정도 감염 피해를 입은 후 조치하는 후속 절차 이다. 이와 같이 원치 않는 피해 발생으로 부터 안전하기 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 노력이 무엇보다 중요하다고 할 수 있다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 위와 같은 악성파일에 대해 신종 및 변종 모두 진단/치료가 가능한 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 위와 같은 악성파일을 신종 및 변종에 상관 없이 모두 치료가 가능한 Generic 진단/치료 기능을 제공하고 있으며, 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.






저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect