1. 국내 인터넷 뱅킹 이용자를 노린 보안위협 증대
거기에 자체 업데이트 기능을 동원하는가 한편 피싱 기법도 다변화 되는 등 진화에 진화를 거듭하고 있다. 또한, 조회수가 많은 파일공유 서비스 관련 사이트에 인기가 많은 동영상 파일처럼 등록해서 인터넷 누리꾼들을 유혹하고 있다.
2. 무심코 다운로드한 예능프로그램이 당신의 돈을 훔친다?
2012년 12월 29일 토요일 주말 저녁, MBC TV 예능프로그램 "무한도전"이 방송됐다. 보통 본방송이 끝나면 각종 파일공유 서비스에는 해당 동영상이 공유되는데, 마침 국내 특정 토렌트 관련 사이트에 다음과 같은 게시물과 파일이 등록됐다.
무한도전.E310.121229.(박명수의 어떤가요).121229.HDTV.XviD-Baros
약 4,700 여명이 해당 게시글을 조회했고, 게시글 본문에는 토렌트 아이콘과 화면보호기 파일로 위장된 실행파일[무한도전.E310.121229.(박명수의 어떤가요).121229.HDTV.XviD-Baros.scr]이 첨부되어 있다.
다운로드 사용자로 하여금 토렌트(Torrent) 파일처럼 인식시키기 위해서 아이콘을 µTorrent 파일처럼 교묘하게 위장하고 있다.
해당 파일은 자동압축해제 기능의 SFX ZIP 형식으로 만들어져 있으며, 내부에는 "home.exe" 이름의 악성파일과 실제 "111.torrent" 파일이 포함되어 있다. 따라서 이용자가 파일을 실행할 경우 악성파일이 은밀히 실행되고, 이용자를 속이기 위해서 실제 정상적인 토렌트 파일을 실행하게 된다.
"home.exe" 파일은 일종의 악성파일 다운로더(Downloader) 기능을 수행하게 되며, 특정 웹 서버로 접속해서 국내 인터넷 뱅킹용 악성파일(KRBanker)을 추가로 설치하는 기능을 수행한다.
아래 화면은 실제 "home.exe" 악성파일의 내부 코드를 분석한 이미지이며, 특정 서버에 등록되어 있는 "abcd123.exe" 악성파일을 추가로 다운로드하고 실행하는 것을 확인할 수 있다.
잉카인터넷 대응팀은 악성파일(KRBanker)이 등록된 파일서버(HttpFileSever v2.3 beta)를 분석한 결과 중국어로 구축되어 있으며, 국내 인터넷 뱅킹용 악성파일 변종이 추가로 등록되어 있는 것을 확인할 수 있었다. 또한, 약 2만 3천 여명의 사용자가 악성파일에 접근(다운로드)했던 조회수도 확인한 상태이다.
해당 서버는 한국인터넷진흥원(KISA)에 협조를 요청하여, 현재는 접속을 차단시킨 상태이다. 해당 서버에 등록되어 있던 "abcd123.exe", "TEST.exe", "v3lite.exe" 등은 모두 내부에 국내 인터넷 뱅킹용 악성파일을 포함하고 있는 KRBanker 변종들이다.
악성파일이 실행되어 감염되면 "IPCONFIG.INI" 파일에 포함되어 있는 IP주소에 따라 피싱사이트로 호스트파일(hosts)이 변경되고, 이용자가 정상적인 국내 인터넷 뱅킹 사이트에 접속하더라도 악성파일이 조작한 피싱사이트로 연결된다.
3. 은행 보안카드 번호를 모두 입력하는 경우는 절대 없다.
국내 인터넷 뱅킹용 악성파일(KRBanker) 변종에 대한 대대적인 주의보와 신속한 IP주소 등의 차단에도 불구하고, 악성파일 제작자들은 공격은 끊임없이 진행되고 있다. 거기에 최근에는 다양한 기법을 도입하는 등 악성파일은 점차 정교화 지능화되고 있는 양상이다.
악성파일 제작자들은 시간이 지날 수록 더욱 교묘하고 대담해지고 있으며, 최근에는 이용자의 시스템을 파괴하는 등의 공격성까지 띄고 있어 이용자들의 각별한 주의가 필요하다. 이런 종류의 전자금융사기는 대부분이 보안강화(승급)서비스나 전자금융사기 예방 서비스 등을 사칭하여 이용자의 금융정보를 입력하도록 유혹한다.
특히, 공통적으로 은행 보안카드의 모든 번호를 입력하도록 유도하는 공통점이 있다는 점에 주목해야 한다.
사이버 범죄 조직들은 위조된 가짜 화면과 악성파일 기능을 통해서 공인인증서(NPKI) 탈취와 계좌번호 등을 평소와 비슷한 은행서비스로 위장하여 손쉽게 탈취할 수 있지만, 보안카드의 모든 번호를 입력하는 경우는 실제로 존재하지 않기 때문에 이용자들의 의심을 받을 가능성이 높다. 실제 인터넷 뱅킹 서비스에는 어떤 경우라도 보안카드의 모든 번호를 요구하는 경우는 절대로 없다는 것을 명심해야 한다.
만약, 보안카드의 모든 번호를 입력하라는 화면을 보게 된다면 100% 피싱사이트이므로, 정보 입력작업을 즉시 중단하고 관계 금융사나 보안업체 등에 신속히 신고하여 악성파일 감염 유무 등을 점검해 보아야 한다.
보통의 가짜 인터넷 뱅킹 사이트는 사용자의 개인정보를 과도하게 입력하도록 요구하는 것이 공통점이므로, 평상시와 다르게 요구하는 정보가 많아졌거나, 인터넷 뱅킹 사이트에 오타 등 이상한 문구 등을 발견할 경우 개인정보 입력을 중단하여야 한다.
공인인증서 파일은 USB 이동 디스크 등에 별도 암호화하여 보관하고, 보안카드 전체 번호는 절대로 모두 입력하거나 이미지로 저장하여 별도로 보관하지 않도록 주의해야 한다.
전자금융사기 사이트의 경우 대부분 보안카드의 전체 번호를 입력하도록 요구하고 있다는 점을 절대 잊어서는 안된다. 또, 제작자들이 악성파일의 은폐와 함께 이제는 사용자의 시스템까지 파괴할려는 시도를 하고 있다는 점에서 악성파일 유입을 사전에 차단하는 것이 매우 중요해 지고 있다.
해당 악성 파일은 대부분의 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.
거기에 자체 업데이트 기능을 동원하는가 한편 피싱 기법도 다변화 되는 등 진화에 진화를 거듭하고 있다. 또한, 조회수가 많은 파일공유 서비스 관련 사이트에 인기가 많은 동영상 파일처럼 등록해서 인터넷 누리꾼들을 유혹하고 있다.
[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
☞ http://erteam.nprotect.com/370
[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
☞ http://erteam.nprotect.com/366
[주의]KRBanker 변종 시티은행 피싱 목록 추가!
☞ http://erteam.nprotect.com/365
[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
☞ http://erteam.nprotect.com/347
[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
☞ http://erteam.nprotect.com/344
[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
☞ http://erteam.nprotect.com/341
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
☞ http://erteam.nprotect.com/340
[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
☞ http://erteam.nprotect.com/339
☞ http://erteam.nprotect.com/370
[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
☞ http://erteam.nprotect.com/366
[주의]KRBanker 변종 시티은행 피싱 목록 추가!
☞ http://erteam.nprotect.com/365
[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
☞ http://erteam.nprotect.com/347
[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
☞ http://erteam.nprotect.com/344
[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
☞ http://erteam.nprotect.com/341
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
☞ http://erteam.nprotect.com/340
[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
☞ http://erteam.nprotect.com/339
2. 무심코 다운로드한 예능프로그램이 당신의 돈을 훔친다?
2012년 12월 29일 토요일 주말 저녁, MBC TV 예능프로그램 "무한도전"이 방송됐다. 보통 본방송이 끝나면 각종 파일공유 서비스에는 해당 동영상이 공유되는데, 마침 국내 특정 토렌트 관련 사이트에 다음과 같은 게시물과 파일이 등록됐다.
무한도전.E310.121229.(박명수의 어떤가요).121229.HDTV.XviD-Baros
약 4,700 여명이 해당 게시글을 조회했고, 게시글 본문에는 토렌트 아이콘과 화면보호기 파일로 위장된 실행파일[무한도전.E310.121229.(박명수의 어떤가요).121229.HDTV.XviD-Baros.scr]이 첨부되어 있다.
다운로드 사용자로 하여금 토렌트(Torrent) 파일처럼 인식시키기 위해서 아이콘을 µTorrent 파일처럼 교묘하게 위장하고 있다.
해당 파일은 자동압축해제 기능의 SFX ZIP 형식으로 만들어져 있으며, 내부에는 "home.exe" 이름의 악성파일과 실제 "111.torrent" 파일이 포함되어 있다. 따라서 이용자가 파일을 실행할 경우 악성파일이 은밀히 실행되고, 이용자를 속이기 위해서 실제 정상적인 토렌트 파일을 실행하게 된다.
"home.exe" 파일은 일종의 악성파일 다운로더(Downloader) 기능을 수행하게 되며, 특정 웹 서버로 접속해서 국내 인터넷 뱅킹용 악성파일(KRBanker)을 추가로 설치하는 기능을 수행한다.
아래 화면은 실제 "home.exe" 악성파일의 내부 코드를 분석한 이미지이며, 특정 서버에 등록되어 있는 "abcd123.exe" 악성파일을 추가로 다운로드하고 실행하는 것을 확인할 수 있다.
잉카인터넷 대응팀은 악성파일(KRBanker)이 등록된 파일서버(HttpFileSever v2.3 beta)를 분석한 결과 중국어로 구축되어 있으며, 국내 인터넷 뱅킹용 악성파일 변종이 추가로 등록되어 있는 것을 확인할 수 있었다. 또한, 약 2만 3천 여명의 사용자가 악성파일에 접근(다운로드)했던 조회수도 확인한 상태이다.
해당 서버는 한국인터넷진흥원(KISA)에 협조를 요청하여, 현재는 접속을 차단시킨 상태이다. 해당 서버에 등록되어 있던 "abcd123.exe", "TEST.exe", "v3lite.exe" 등은 모두 내부에 국내 인터넷 뱅킹용 악성파일을 포함하고 있는 KRBanker 변종들이다.
악성파일이 실행되어 감염되면 "IPCONFIG.INI" 파일에 포함되어 있는 IP주소에 따라 피싱사이트로 호스트파일(hosts)이 변경되고, 이용자가 정상적인 국내 인터넷 뱅킹 사이트에 접속하더라도 악성파일이 조작한 피싱사이트로 연결된다.
이처럼 전자금융사기용 악성파일이 다양한 경로로 유포되고 있고, 이용자들의 심리를 교묘히 이용하고 있다는 점을 명심해야 한다.
최근에는 이런 형태의 악성파일에 감염되고, 피싱사이트에 속아 개인금융 정보 및 보안카드의 모든 번호를 입력하여 자신의 소중한 예금이 탈취되는 피해도 꾸준이 보고되고 있는 실정이다.
[매일경제]등록금 털어간 신종피싱 `파밍`
http://news.mk.co.kr/newsRead.php?year=2013&no=3717
3. 은행 보안카드 번호를 모두 입력하는 경우는 절대 없다.
국내 인터넷 뱅킹용 악성파일(KRBanker) 변종에 대한 대대적인 주의보와 신속한 IP주소 등의 차단에도 불구하고, 악성파일 제작자들은 공격은 끊임없이 진행되고 있다. 거기에 최근에는 다양한 기법을 도입하는 등 악성파일은 점차 정교화 지능화되고 있는 양상이다.
악성파일 제작자들은 시간이 지날 수록 더욱 교묘하고 대담해지고 있으며, 최근에는 이용자의 시스템을 파괴하는 등의 공격성까지 띄고 있어 이용자들의 각별한 주의가 필요하다. 이런 종류의 전자금융사기는 대부분이 보안강화(승급)서비스나 전자금융사기 예방 서비스 등을 사칭하여 이용자의 금융정보를 입력하도록 유혹한다.
특히, 공통적으로 은행 보안카드의 모든 번호를 입력하도록 유도하는 공통점이 있다는 점에 주목해야 한다.
사이버 범죄 조직들은 위조된 가짜 화면과 악성파일 기능을 통해서 공인인증서(NPKI) 탈취와 계좌번호 등을 평소와 비슷한 은행서비스로 위장하여 손쉽게 탈취할 수 있지만, 보안카드의 모든 번호를 입력하는 경우는 실제로 존재하지 않기 때문에 이용자들의 의심을 받을 가능성이 높다. 실제 인터넷 뱅킹 서비스에는 어떤 경우라도 보안카드의 모든 번호를 요구하는 경우는 절대로 없다는 것을 명심해야 한다.
만약, 보안카드의 모든 번호를 입력하라는 화면을 보게 된다면 100% 피싱사이트이므로, 정보 입력작업을 즉시 중단하고 관계 금융사나 보안업체 등에 신속히 신고하여 악성파일 감염 유무 등을 점검해 보아야 한다.
보통의 가짜 인터넷 뱅킹 사이트는 사용자의 개인정보를 과도하게 입력하도록 요구하는 것이 공통점이므로, 평상시와 다르게 요구하는 정보가 많아졌거나, 인터넷 뱅킹 사이트에 오타 등 이상한 문구 등을 발견할 경우 개인정보 입력을 중단하여야 한다.
공인인증서 파일은 USB 이동 디스크 등에 별도 암호화하여 보관하고, 보안카드 전체 번호는 절대로 모두 입력하거나 이미지로 저장하여 별도로 보관하지 않도록 주의해야 한다.
전자금융사기 사이트의 경우 대부분 보안카드의 전체 번호를 입력하도록 요구하고 있다는 점을 절대 잊어서는 안된다. 또, 제작자들이 악성파일의 은폐와 함께 이제는 사용자의 시스템까지 파괴할려는 시도를 하고 있다는 점에서 악성파일 유입을 사전에 차단하는 것이 매우 중요해 지고 있다.
해당 악성 파일은 대부분의 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.
※ 보안 관리 수칙
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.
nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.
▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/
'분석 정보 > 악성코드 분석 정보' 카테고리의 다른 글
| [주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다. (2) | 2013.01.04 |
|---|---|
| [주의]인터넷 익스플로러(IE) 0-Day 취약점 공격 증가(CVE-2012-4792) (1) | 2013.01.04 |
| [위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재 (Update 06) (6) | 2012.12.27 |
| [주의]지구종말의 날? 악성파일 감염의 날? (0) | 2012.12.21 |
| [긴급]KRBanker 새로운 변종 애플 아이콘으로 위장! (0) | 2012.12.07 |