1. 한국맞춤형 전자금융사기 악성파일(KRBanker) DLL 파일로 귀환
더불어 외부 사이트에 접속해서 plus.php 파일을 받은 후 data.mdb 파일로 생성하는데, 이 파일에는 파밍사이트로 사용할 호스트 정보가 담겨 있고, "hosts.ics" 파일을 만드는데 이용된 후 삭제된다. 또한, 정상적인 "hosts" 파일을 삭제한다. 이로인해 감염된 컴퓨터에서 인터넷 뱅킹 사이트에 접속시 가짜 사이트로 연결되도록 만들어지게 된다.
2. 변신의 귀재? 인터넷 뱅킹용 악성파일
악성파일은 국내 다수의 웹 사이트를 변조하여 Drive By Download 기법을 통해서 전파된다. 악성파일에 노출이 되면 임의의 숫자와 알파벳으로 조합된 특정 폴더를 생성하고 내부에 파일명이 랜덤한 dll 악성파일과 정상적인 "rundll32.exe" 파일에서 이름만 변경한 "csrss.exe" 파일을 생성하고 실행한다.
[2013년 08월 09일 바이러스 토탈 진단현황] / 변종이 계속 발견되고 있는 상태이다.
https://www.virustotal.com/ko/file/a18370a748ef40b3b066fde1fc3c07c69ad32a08bdcefbb0b10bd42280ef0f18/analysis
"start.lnk" 바로가기 파일은 레지스트리에 자신을 등록해서 재부팅 시 자동으로 실행되도록 조작되어 있다.
그리고 "csrss.exe" 파일은 악성 "Bnhd.dll" 파일을 실행하고, 특정 호스트로 접속하여 plus.php 파일을 다운로드하며, 내부적으로 마치 ZIP 포맷처럼 보이도록 파일헤더를 조작하고 있다.
이 파일은 동일한 경로에 "data.mdb" 라는 파일명으로 생성되고, "hosts.ics" 파일을 생성하는데 사용한 후 삭제된다. 그리고 정상적인 "hosts" 파일도 삭제한다.
호스트 파일(hosts.ics)은 다음과 같이 변경되고, 정상적으로 존재하는 hosts 파일은 삭제된다.
이렇게 "hosts.ics" 파일이 변경되면 이용자가 정상적인 인터넷 뱅킹 사이트를 접속하더라도 110.34.210.115 IP 주소의 파밍사이트로 연결된다.
파밍 사이트에서는 팝업창을 띄어 마치 전자금융사기 예방시스템 신청이라는 문구로 이용자를 현혹하여 개인정보를 입력하는 사이트로 연결을 유도한다.
[전자금융사기 예방시스템 신청] 부분을 클릭하게 되면 다음과 같이 과도하게 금융정보를 입력하도록 요구하는 화면을 보여주게 되고, 그 이후로도 보안카드 등 정상적인 금융사이트에서는 요구하지 않는 보안정보를 입력하도록 현혹하게 된다. 이용자가 만약 해당 지시사항대로 금융정보를 입력하게 되면 악성파일에 의해서 유출된 정보로 인해서 예기치 못한 예금인출 사고를 입을 수 있게 된다.
3. 피싱(파밍) 사이트 진위여부 판단 노하우
내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.
따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.
2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.
해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.
더불어 외부 사이트에 접속해서 plus.php 파일을 받은 후 data.mdb 파일로 생성하는데, 이 파일에는 파밍사이트로 사용할 호스트 정보가 담겨 있고, "hosts.ics" 파일을 만드는데 이용된 후 삭제된다. 또한, 정상적인 "hosts" 파일을 삭제한다. 이로인해 감염된 컴퓨터에서 인터넷 뱅킹 사이트에 접속시 가짜 사이트로 연결되도록 만들어지게 된다.
2. 변신의 귀재? 인터넷 뱅킹용 악성파일
악성파일은 국내 다수의 웹 사이트를 변조하여 Drive By Download 기법을 통해서 전파된다. 악성파일에 노출이 되면 임의의 숫자와 알파벳으로 조합된 특정 폴더를 생성하고 내부에 파일명이 랜덤한 dll 악성파일과 정상적인 "rundll32.exe" 파일에서 이름만 변경한 "csrss.exe" 파일을 생성하고 실행한다.
[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장
[주의]국내 인터넷 뱅킹용 악성파일 포털사이트 접근까지 변조시도
[주의]KRBanker 악성파일 제작자 하데스(Hades)로 귀환?
[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체
[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
[주의]KRBanker 변종 시티은행 피싱 목록 추가!
[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
[2013년 08월 09일 바이러스 토탈 진단현황] / 변종이 계속 발견되고 있는 상태이다.
https://www.virustotal.com/ko/file/a18370a748ef40b3b066fde1fc3c07c69ad32a08bdcefbb0b10bd42280ef0f18/analysis
"start.lnk" 바로가기 파일은 레지스트리에 자신을 등록해서 재부팅 시 자동으로 실행되도록 조작되어 있다.
그리고 "csrss.exe" 파일은 악성 "Bnhd.dll" 파일을 실행하고, 특정 호스트로 접속하여 plus.php 파일을 다운로드하며, 내부적으로 마치 ZIP 포맷처럼 보이도록 파일헤더를 조작하고 있다.
이 파일은 동일한 경로에 "data.mdb" 라는 파일명으로 생성되고, "hosts.ics" 파일을 생성하는데 사용한 후 삭제된다. 그리고 정상적인 "hosts" 파일도 삭제한다.
호스트 파일(hosts.ics)은 다음과 같이 변경되고, 정상적으로 존재하는 hosts 파일은 삭제된다.
이렇게 "hosts.ics" 파일이 변경되면 이용자가 정상적인 인터넷 뱅킹 사이트를 접속하더라도 110.34.210.115 IP 주소의 파밍사이트로 연결된다.
파밍 사이트에서는 팝업창을 띄어 마치 전자금융사기 예방시스템 신청이라는 문구로 이용자를 현혹하여 개인정보를 입력하는 사이트로 연결을 유도한다.
[전자금융사기 예방시스템 신청] 부분을 클릭하게 되면 다음과 같이 과도하게 금융정보를 입력하도록 요구하는 화면을 보여주게 되고, 그 이후로도 보안카드 등 정상적인 금융사이트에서는 요구하지 않는 보안정보를 입력하도록 현혹하게 된다. 이용자가 만약 해당 지시사항대로 금융정보를 입력하게 되면 악성파일에 의해서 유출된 정보로 인해서 예기치 못한 예금인출 사고를 입을 수 있게 된다.
3. 피싱(파밍) 사이트 진위여부 판단 노하우
내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.
따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.
2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.
해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.
※ 보안 관리 수칙
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.
nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.
▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/
'분석 정보 > 악성코드 분석 정보' 카테고리의 다른 글
| [주의]외교정책 내용으로 사칭한 악성 HWP 문서파일 발견 (0) | 2013.08.30 |
|---|---|
| [주의]보안 앱 위장 이미지 기반 신종 스미싱 기법 등장 (0) | 2013.08.29 |
| [주의]표적공격 유발자 HWP 악성파일 지속 출현 (1) | 2013.08.08 |
| [주의]LNK 취약점 이용한 지능화된 표적공격용 악성파일 다수 발견 (1) | 2013.08.06 |
| [주의]국내 웹 사이트 관리자 계정을 노린 악성파일 등장 (0) | 2013.07.26 |