1. 온라인 요금 청구서가 악성파일도 배송한다?
실제 전 세계의 수 많은 사이버 범죄집단들이 금전적인 수익에 몰입하고 있다는 것을 반드시 명심해야 한다. 이러한 종류의 보안위협은 매우 다양하게 발생하고 있으며, 2012년 10월 11일 잉카인터넷 대응팀 공식블로그에 공개되었던 "[주의]롬니 미대선 후보의 CNN 뉴스속보로 위장한 악성이메일 국내 유입"의 변종 형태 중에 하나로 Blackhole Exploit Kit 프로그램을 통해서 꾸준히 유사한 공격이 진행되고 있어 각별한 주의가 요구된다.
2. 악성파일 전파 과정
우선 공격자는 이메일 수신자가 최대한 신뢰할 수 있도록 발신자 주소를 AT&T 온라인 서비스(AT&T Online Services <att-online.services.1563728399@email.att-mail.com>)로 위장하였다. 이러한 방식은 이메일의 내부구조를 변경해서 충분히 조작할 수 있기 때문에 발신지 이메일 주소만으로 속지 않도록 유의할 필요가 있다.
보낸 사람 : AT&T Online Services <att-online.services.1563728399@email.att-mail.com>
제목 : Your AT&T online bill is ready to be viewed
이메일 본문에는 새로운 AT&T 계정이 준비되어 있고, 표기되어 있는 청구내역 및 납입 만기일 등을 보고 결제를 진행하도록 유도하고 있다. 사용자에 따라 약 $2,674 달러의 청구금액에 놀라 해당 사이트로 접근을 시도할 수 있게 된다. 그러나 이메일 본문에 링크되어 있는 모든 URL 주소는 실제 AT&T 웹 사이트가 아닌 해킹된 웹 사이트로 연결되도록 조작되어 있다.
이메일 본문에이 있는 모든 링크는 해킹되어 변조된 "index.html" 사이트로 연결이 되어 있고, 사용자가 클릭할 경우 다음과 같은 코드가 실행된다. 연결되는 과정에서 사용자가 의심하지 못하도록 하기 위해서 Connectiong to server... 라는 문구를 보여준다.
"index.html" 파일은 내부 스크립트 명령에 의해서 또 다른 3개의 "js.js" 자바스크립트가 실행되도록 만든다. 공격자들은 3개의 스크립트를 서로 다른 웹 사이트에 복수등록하여 혹시 모를 차단에 대비한 것으로 추정된다. 스크립트 파일은 모두 동일한 명령어를 포함하고 있고, 또 다른 웹 사이트의 "software-say.php" 주소로 연결되도록 구성되어 있다.
"software-say.php" 파일은 난독화된 코드로 구성되어 있고, JAVA와 PDF 파일의 보안 취약점파일이 실행된다. 이때 사용자의 보안상태가 취약한 경우 또 다른 사이트에서 별도의 악성파일(EXE)이 다수 설치시도된다.
악성파일은 다수의 C&C(Command and Control)서버로 접속을 시도하고, 공격자의 추가 명령에 따라서 다양한 보안위협에 노출될 수 있다. 아래는 악성파일 중 "update_flash_player.exe" 파일이 작동할 경우 접속을 시도하는 사이트들이다. 악의적인 네트워크 행위가 발각되지 않도록 하기 위해서 정상적인 "explorer.exe" 파일을 이용해서 접속을 시도하기도 한다.
"bD4A84.exe", "oBzh.exe", "7gQmav.exe" 파일은 파일명과 경유지가 모두 다르지만 동일한 악성파일로서 감염시 다음과 같은 서버로 접속을 반복시도하고, 추가명령을 대기한다.
3. 마무리
이메일의 첨부파일과 본문링크 등을 통한 악성파일 전파수법은 매우 오래된 구식적인 방식이지만, 아직도 많은 이용자들이 아무런 의심없이 너무나 쉽게 열람해 보고 있는 것이 현실이다. 그로 인해 각종 보안위협에 노출되는 피해가 반복되고 있는 실정이기도 하다. 이 때문에 악성파일 제작자들은 끊임없이 이메일 첨부파일 및 링크변조 수법을 공격방식으로 사용하는 이유이기도 하다.
아울러 이런 위협을 예방하기 위해서는 사용자 스스로 보안의식을 고취하는 노력이 매우 중요하며, 수신된 첨부파일이나 본문에 포함된 URL 링크 주소에 항시 잠재적 보안위협이 포함되어 있을 수 있다는 의심과 악성파일 검사 정도는 한번 쯤 확인하고 열람하는 습관이 요구된다. 더불어 Adobe Reader(PDF)와 JAVA 취약점이 꾸준히 악용되고 있으므로, 항시 최신버전으로 업데이트하는 노력이 중요하다.
[칼럼]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
☞ http://erteam.nprotect.com/250
위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.
실제 전 세계의 수 많은 사이버 범죄집단들이 금전적인 수익에 몰입하고 있다는 것을 반드시 명심해야 한다. 이러한 종류의 보안위협은 매우 다양하게 발생하고 있으며, 2012년 10월 11일 잉카인터넷 대응팀 공식블로그에 공개되었던 "[주의]롬니 미대선 후보의 CNN 뉴스속보로 위장한 악성이메일 국내 유입"의 변종 형태 중에 하나로 Blackhole Exploit Kit 프로그램을 통해서 꾸준히 유사한 공격이 진행되고 있어 각별한 주의가 요구된다.
2. 악성파일 전파 과정
우선 공격자는 이메일 수신자가 최대한 신뢰할 수 있도록 발신자 주소를 AT&T 온라인 서비스(AT&T Online Services <att-online.services.1563728399@email.att-mail.com>)로 위장하였다. 이러한 방식은 이메일의 내부구조를 변경해서 충분히 조작할 수 있기 때문에 발신지 이메일 주소만으로 속지 않도록 유의할 필요가 있다.
보낸 사람 : AT&T Online Services <att-online.services.1563728399@email.att-mail.com>
제목 : Your AT&T online bill is ready to be viewed
이메일 본문에는 새로운 AT&T 계정이 준비되어 있고, 표기되어 있는 청구내역 및 납입 만기일 등을 보고 결제를 진행하도록 유도하고 있다. 사용자에 따라 약 $2,674 달러의 청구금액에 놀라 해당 사이트로 접근을 시도할 수 있게 된다. 그러나 이메일 본문에 링크되어 있는 모든 URL 주소는 실제 AT&T 웹 사이트가 아닌 해킹된 웹 사이트로 연결되도록 조작되어 있다.
이메일 본문에이 있는 모든 링크는 해킹되어 변조된 "index.html" 사이트로 연결이 되어 있고, 사용자가 클릭할 경우 다음과 같은 코드가 실행된다. 연결되는 과정에서 사용자가 의심하지 못하도록 하기 위해서 Connectiong to server... 라는 문구를 보여준다.
"index.html" 파일은 내부 스크립트 명령에 의해서 또 다른 3개의 "js.js" 자바스크립트가 실행되도록 만든다. 공격자들은 3개의 스크립트를 서로 다른 웹 사이트에 복수등록하여 혹시 모를 차단에 대비한 것으로 추정된다. 스크립트 파일은 모두 동일한 명령어를 포함하고 있고, 또 다른 웹 사이트의 "software-say.php" 주소로 연결되도록 구성되어 있다.
"software-say.php" 파일은 난독화된 코드로 구성되어 있고, JAVA와 PDF 파일의 보안 취약점파일이 실행된다. 이때 사용자의 보안상태가 취약한 경우 또 다른 사이트에서 별도의 악성파일(EXE)이 다수 설치시도된다.
악성파일은 다수의 C&C(Command and Control)서버로 접속을 시도하고, 공격자의 추가 명령에 따라서 다양한 보안위협에 노출될 수 있다. 아래는 악성파일 중 "update_flash_player.exe" 파일이 작동할 경우 접속을 시도하는 사이트들이다. 악의적인 네트워크 행위가 발각되지 않도록 하기 위해서 정상적인 "explorer.exe" 파일을 이용해서 접속을 시도하기도 한다.
"bD4A84.exe", "oBzh.exe", "7gQmav.exe" 파일은 파일명과 경유지가 모두 다르지만 동일한 악성파일로서 감염시 다음과 같은 서버로 접속을 반복시도하고, 추가명령을 대기한다.
3. 마무리
이메일의 첨부파일과 본문링크 등을 통한 악성파일 전파수법은 매우 오래된 구식적인 방식이지만, 아직도 많은 이용자들이 아무런 의심없이 너무나 쉽게 열람해 보고 있는 것이 현실이다. 그로 인해 각종 보안위협에 노출되는 피해가 반복되고 있는 실정이기도 하다. 이 때문에 악성파일 제작자들은 끊임없이 이메일 첨부파일 및 링크변조 수법을 공격방식으로 사용하는 이유이기도 하다.
아울러 이런 위협을 예방하기 위해서는 사용자 스스로 보안의식을 고취하는 노력이 매우 중요하며, 수신된 첨부파일이나 본문에 포함된 URL 링크 주소에 항시 잠재적 보안위협이 포함되어 있을 수 있다는 의심과 악성파일 검사 정도는 한번 쯤 확인하고 열람하는 습관이 요구된다. 더불어 Adobe Reader(PDF)와 JAVA 취약점이 꾸준히 악용되고 있으므로, 항시 최신버전으로 업데이트하는 노력이 중요하다.
[칼럼]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
☞ http://erteam.nprotect.com/250
위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.
※ 보안 관리 수칙
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.
nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.
▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/
'분석 정보 > 악성코드 분석 정보' 카테고리의 다른 글
| [긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹 (3) | 2012.10.19 |
|---|---|
| [칼럼]불순한 변칙 광고프로그램 유해성 판단여부 하나도 애매하지 않다. (1) | 2012.10.18 |
| [정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁 (2) | 2012.10.15 |
| [주의]롬니 미대선 후보의 CNN 뉴스속보로 위장한 악성이메일 국내 유입 (1) | 2012.10.11 |
| [칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다! (1) | 2012.10.09 |