전자금융 서비스 이용자들은 보안강화(승급)서비스와 더불어 "전자금융사기 예방서비스" 등의 내용에 현혹되지 않아야 하며, 금융사이트에서 과도한 개인정보 입력을 요구하거나 보안카드의 모든 번호를 입력하라는 화면을 볼 경우 무의식적으로 입력하는 오류를 범하지 않도록 각별한 주의가 필요한 상태이다.
☞ http://erteam.nprotect.com/347
[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
☞ http://erteam.nprotect.com/344
[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
☞ http://erteam.nprotect.com/341
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
☞ http://erteam.nprotect.com/340
[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
☞ http://erteam.nprotect.com/339
[긴급]국내 인터넷뱅킹 악성파일 새로운 은행 표적추가
☞ http://erteam.nprotect.com/320
2. KRBanker 전자금융사기용 악성파일 정보
최근 발견된 KRBanker 변종 악성파일은 호스트파일(hosts)을 이용하는 과거 기법의 형태로 발견되었고, 압축파일 자동압축해제 기능(SFX)을 이용해서 만들어진 EXE 실행파일 형태이다.
압축파일 내부에는 기존에 이미 알려진바와 동일하게 마치 어도브관련 업데이트 파일처럼 보이도록 "adobe_update.exe" 파일명으로 설치되도록 제작되어 있다.
악성파일이 실행되면 내부 명령어에 따라서 윈도우 임시폴더(Temp)에 "adobe_update.exe" 악성파일을 설치하고 실행한다. 이때 "IPCONFIG.INI" 파일을 함께 설치해서 피싱사이트가 사용할 IP주소를 설정한다.
또한 이 IP주소 설정파일을 이용해서 호스트파일(hosts)을 수정하여 정상적인 국내 인터넷 뱅킹 사이트가 특정 피싱 사이트로 접속이 변경되도록 수정한다.
www.hanabank.com -> 하나은행
www.kbstar.com -> 국민은행
obank.kbstar.com -> 국민은행
pib.wooribank.com -> 우리은행
ibs.kfcc.co.kr -> 새마을금고
banking.shinhan.com -> 신한은행
www.ibk.co.kr -> 기업은행
banking.nonghyup.com -> 농협
mybank.ibk.co.kr -> 기업은행
이렇게 호스트파일이 변경되고 KRBanker 악성파일에 감염되면 이용자가 정상적인 하나은행, 국민은행, 우리은행, 새마을금고, 신한은행, 기업은행, 농협 등에 접속하더라도 피싱 IP 주소인 210.209.119.183 사이트로 연결이 시도된다.
특히, 호스트파일(hosts)을 이용하는 경우 도메인은 정상적인 금융사 사이트처럼 보이기 때문에 육안상으로 가짜 사이트라는 것을 판별하기 어렵다. 더불어 공인인증서(NPKI) 정보 탈취 시도도 동시에 진행한다.
다음은 실제 악성파일에 감염된 상태에서 금융사이트에 접속했을 때 연결되어지는 화면이다. 예전처럼 보안강화서비스나 보안승급서비스라는 문구는 사라졌고, 새롭게 전자금융사기 예방서비스로 둔갑하고 있다.
상기 화면을 자세히 들여다 보면, 전자금융 서비스 이용약관 이라는 내용으로 사용자를 현혹하며, 본인확인 절차를 위해서 이름과 주민등록번호 등을 입력하도록 요구한다. 개인정보를 입력 후 확인버튼을 클릭하게 되면 [실명 인증되였습니다.] 라는 오타가 포함된 메시지 창이 나타난다.
오타가 포함된 [실명 인증되(였->었)습니다.]라는 메시지 창의 확인버튼을 클릭하면 다음과 같이 추가적인 개인정보 입력 요구화면이 나오게 된다. 특히, 보안카드의 모든 암호를 입력하게 유도하는 특징을 가지고 있는데, 절대로 금융권에서는 보안카드의 모든 번호를 요구하지 않다는 것을 명심해야 한다.
또한, 잉카인터넷 대응팀에서 테스트 하던 과정 중에 전혀 입력하지 않은 특정 이용자(김지*)의 이름과 주민번호가 화면에 출력되는 이상 증상이 확인되었다. 아마도 피싱 서버의 오류로 보여지며, 실제 누군가 자신의 정보를 직접입력하고 있는 것이 우리쪽 테스트 화면에 보여진게 아닌가 우려가 되는 부분이다.
각 은행별로 감염된 상태의 이미지는 다음과 같다.
[하나은행]
[국민은행]
[우리은행]
[새마을금고]
[신한은행]
[기업은행]
[농협]
3. KRBanker 악성파일 대비
악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.
그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.
A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko
B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/
http://get.adobe.com/kr/reader/
C. JAVA 제품군
http://www.java.com/ko/
그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.
위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.
nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.
▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/
'분석 정보 > 악성코드 분석 정보' 카테고리의 다른 글
| [긴급]KRBanker 새로운 변종 애플 아이콘으로 위장! (0) | 2012.12.07 |
|---|---|
| [주의]KRBanker 변종 시티은행 피싱 목록 추가! (0) | 2012.12.04 |
| [긴급]새로운 HWP Zero-Day 취약점 악성파일 등장 (표적공격) (1) | 2012.11.26 |
| [주의]HWP 문서취약점을 이용한 표적형 악성파일 급증 (Update #02) (1) | 2012.11.20 |
| [정보]국방 관련 문서파일로 위장한 한글 취약점 악성파일 발견 주의! (0) | 2012.11.16 |