엔진 업데이트

[긴급]현대캐피탈 웹사이트 이용자를 노린 악성파일 등장

1. 국내 대출관련 사이트 이용자 보안위협 적신호


잉카인터넷 대응팀은 그동안 국내 시중 금융사의 인터넷뱅킹 서비스 이용자를 주로 겨냥한 악성파일(KRBanker) 제작조직이 최근 국내 대출관련 사이트를 추가적으로 노리기 시작한 근거와 정황을 포착하였다. 발견된 일부 악성파일의 명령코드에 의하면 기존 KRBanker 변종들이 사용한 기법 중 하나인 호스트(hosts)파일 변조 방식을 사용하였고, 감염된 상태에서 정상적인 현대캐피탈 웹 사이트에 접속시 정상처럼 모방된 가짜 피싱사이트로 접속하도록 제작하였다. 아직까지는 피싱용 IP주소가 공식적으로 확인되지는 않았고, 공격을 감행하기 위한 사전모의 시점으로 추정되고 있다. 이에 잉카인터넷 대응팀은 관련 보안위협의 이상징후를 예의주시하고 있는 상태이다. 보통 이러한 피싱사이트는 보안승급(강화)서비스 등을 위장하여 사용자들의 중요 금융정보를 입력하도록 유도하고, 개인정보를 편취하여 이용자의 예금을 불법 인출하는 사이버범죄 형태를 띄게 된다. 



이처럼 개인 금융정보 탈취를 노린 피싱 대상이 인터넷 뱅킹 사이트에 이어 자금 대출 관련사이트까지 매우 광범위하고 다양하게 지능화되고 있다는 점에서 이용자들의 각별한 주의가 요망된다. 특히, 이와 관련된 형태의 보안위협들이 불특정 다수의 해킹된 인터넷 웹 사이트를 통해서 무차별적으로 은밀하고 조용하게 유포되고 있다는 점에서 그 위험성이 매우 높아져 있는 상태라는 점을 명심해야 한다.

2. 악성파일 관련 정보

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 악성파일 새로운 은행 표적추가
http://erteam.nprotect.com/320

새롭게 발견된 악성파일은 기존 인터넷 뱅킹 이용자를 노린 KRBanker 변종으로 내부코드는 기존 악성파일 구조와 거의 일치한다. 다만 표적 대상이 국내 인터넷 뱅킹 사이트에서 국내 유명 대출관련 사이트로 변경되었다는 점이다.

악성파일은 마치 어도브사의 업데이트 모듈처럼 파일명(adobe_update.exe)을 위장하고 있으며, 아이콘은 투명하게 만들어져 있어 아무것도 보여지지 않는다.


파일의 등록정보에는 내부 이름이 "CretClient.exe" 으로 정해져 있고, 파일은 중국어로 만들어져 있고, 제작자는 Cretlon_Client 라는 경로에서 작업을 수행하였다. 이 부분은 Credit Loan 이라는 의미를 줄여서 표현한 것으로 추정된다.


"adobe_update.exe" 악성파일은 컴퓨터 내부에 저장되어 있는 공인인증서(NPKI) 폴더를 검색하고 유출시도하며, 호스트파일(hosts)의 내용을 현대캐피날(www.hyundaicapital.com)로 변경하는 기능 등을 가지고 있다.



악성파일 제작자는 현대 캐피탈의 피싱사이트 IP주소를 IPCONFIG.INI 파일에 지정하여 함께(RAR SFX) 배포하게 되는데, 현재는 해당 INI 파일이 확인되지는 않은 상태이다. 보통 공격자는 해당 설정파일을 수시로 변경하여 유포하게 되며, IP주소에 따라서 피싱사이트도 가변적으로 동작하게 된다.


또한, 악성파일 내부에는 다음과 같이 국내 공인인증서와 관련된 다이얼로그 리소스와 비트맵 등이 다수 포함되어 있다.


3. KRBanker 악성파일 대비

악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.

그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.

[중요]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
http://erteam.nprotect.com/250


A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko

B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/
http://get.adobe.com/kr/reader/

C. JAVA 제품군
http://www.java.com/ko/

그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.

위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


 

댓글

댓글쓰기

엔진 업데이트 관련된 글

관련글 더보기