현재 국내에서 파밍 사이트가 굉장히 많아서 이슈가 되고 있습니다.. 왜 그렇게 활개를 치는지 근본적인 문제를 되짚어 보아야 합니다. 한국 인터넷 위협 분석 브리핑 1월 5주차 중 금융정보 탈취 부분 발췌
금융 정보 탈취
지난 5~6월부터 지속적으로 금융정보 탈취 악성코드가 유포된다고 알려 왔습니다. 이번주에는 대규모 유포된 금융 정보 탈취 악성코드의 역할에 대해서 알아보겠습니다.
<호스트파일 변조 대상 금융 사이트>
- 7.229.54.xx, 67.229.68.xx, 110.34.225.xx (다수) <금융정보 탈취 사이트 주소>
악성코드에 의한 금융정보 계정 탈취를 막기 위해 위의 사이트를 차단하고, 탐지 정책에 추가할 필요가 있습니다.
금주 차에 집중 분석된 악성코드는 기존과 다르게 보안서비스를 팝업으로 띄우지 않으며 ID/PW 로그인시 보안카드정보 및 사용자명, 주민등록번호 등을 수집합니다. 특징으로는 기존 호스트파일 변조하는 방식에서 Internet Explorer에서 은행사이트로 접근 시 원래 은행사이트와 동일하게 제작된 피싱 사이트로 리다이렉트하여 금융정보를 탈취합니다. 결론적으로 Host 파일 변조를 통한 공격기법에서 변화하는 양상을 보이고 있습니다. 사용자 PC의 모든 권한을 가진 상태이기에 그 어떤 일도 할 수 있는 상태라서 가능한 부분이 되겠습니다. 또한 악성코드들 대부분이 추가 다운로드 기능을 가지고 있는 상태이며, 외부로 업데이트를 확인 하는 행동들이 감지 되고 있습니다. 만약 악성코드에 감염된다면 추가 업데이트를 통해 DDoS나 원격화면정보 등을 수집하는 봇 에이전트를 추가 설치하는 등 2차 침해사고도 예상됩니다.
<금융정보 탈취형 악성코드 유포된 다단계유포망(MalwareNet)의 하나>
국내에 금융정보 탈취 악성코드가 다수 유포되었고 그 중에서 가장 큰 다단계유포망(MalwareNet)입니다. 현재 스샷에는 3가지 링크만 있지만 모두 다단계유포망(MalwareNet)으로 사용되어 심각한 상황입니다. 이 MalwareNet만 해도 총 20여군데에 영향을 미치고 있습니다.
<은행 피싱 악성코드 유포한 악성링크 구조도>
공격 기법상으로는 자바 제로데이(CVE-2013-0422)를 포함한 6종의 자바 취약점을 이용한 공격과 XML 취약점을 이용한 공격을 포함하여 총 7가지의 취약성을 이용한 공격이 탐지되었습니다. 초기 다운로더만을 사용자 PC에 설치하는 공격에서는 기존에 시스템에 존재하는 백신과 업데이트 주소를 모두 중지 시킨 상태에서 공격용 도구들이 추가 다운로드가 되게 됩니다. 즉 초기 공격이 성공한 이후에는 감시 할 수 있는 방안이 거의 없는 상황이라 할 수 있을 것입니다.
<추가 다운로드 네트워크 캡쳐>
와이어샤크로 네트워크 패킷을 캡쳐 결과 이 악성코드가 실행된 후에 추가 다운로드를 받는 것을 확인할 수 있습니다. test.wsad111.asia 도메인의 IP주소를 질의하여 49.129.62.144 IP주소가 확인 되었으며, 국경을 벗어나 국제적으로 활동하는 양상을 직접 확인 할 수 있으며, 일본의 IP 대역도 정보탈취에 직접적인 역할을 하는 것으로 관찰 되었습니다.
해당 피싱 사이트 주소가 막힌 다음에 다시 접속을 시도해보니 test.xxxxx.asia 도메인의 IP주소를 질의하여 49.129.62.144 와는 다른 203.136.164.61 로 바뀐 것을 확인 하였습니다. 공격자는 피싱 사이트의 주소가 막힐 것을 우려하여, 도메인주소는 유지한 상태로 IP만 주소만 변경하여 활용함으로써 정보 탈취를 하려는 시도를 엿볼 수 있습니다. <국내 대응으로 인한 공격자들의 피싱 사이트 주소 변경(피싱 사이트 주소 접속 제한시)> 추가 다운로드 파일 안에는 피싱 사이트 주소, 호스트 파일 수정, 봇 에이전트를 추가로 다운 받으며 IE를 통해 은행권 사이트에 접속시 리다이렉트를 통해 피싱 사이트로 이동합니다. 검색 사이트에서 정상적으로 검색을 하고 접속을 하여도 피싱 사이트로 리다이렉트 되는 것을 확인할 수 있습니다. 주소창을 보아도 정상적인 국민은행 사이트 주소(www.kbstar.com) 입니다. 사용자들이 피싱 사이트인지 정상 사이트인지 구분하기가 매우 어렵습니다. 구분하는 방법은 정상 사이트들은 보안카드 비밀번호 전부를 요구하지는 않는다는 정도이며 이를 잘 모르는 사람들은 피싱에 그대로 노출될 수 밖에 없는 상황입니다. 권한을 가지고 자유자재로 통제되는 좀비 PC는 이미 소유권은 다른 곳에 있을 뿐입니다. 국민은행을 악성코드에 감염되기 전에 접속한 정상 사이트 화면입니다. 화면상으로는 피싱사이트와 구분하기가 매우 어렵습니다. <전자금융사기 예방서비스라고 사용자들을 속임, 오타 포함> 고객님의 계좌가 위험한 지역에서 로그인 기록이 등록 되여 있습니다. 계좌의 안전을 위하여 지금 바로 금융사기예방 서비스 신청이 필요합니다. '되여' 부분이 오타입니다. <최종적으로 모든 입력폼에 있는 정보 다시 한 번 전송> 최종적으로 모든 입력폼에 들어 있는 금융 정보들을 다시 한 번 전송하는 치밀함을 보여주고 있습니다. <두 시간 안에 금융정보를 탈취 할 목적으로 사용자들을 안심 시킴> 다음번에는 인벤에서 유포된 악성코드가 어떻게 게임 계정을 탈취하는지 알려 드리겠습니다. |
첫댓글 좋은정보 감사합니다^^ 앞으로 조심히 사용해야겠네요.. ㅎㅎ