1. 허위 메시지 창으로 인터넷 이용자들을 현혹
잉카인터넷 대응팀은 2013년 09월 04일 마치 특정 공식 사이트들과 금융결제원이 협력하여 보안서비스를 수행하는 것처럼 위장하고, 개인정보 유출이 의심된다는 허위 메시지 창을 출력하여 이용자들을 현혹시키는 악성파일을 발견하였다. 이 악성파일은 특정 포털 사이트 및 전자상거래 사이트 접속시 팝업되도록 만들어져 있다. 악성파일은 윈도우 경로 하위 임시폴더(Temp)에 "svohcst.exe", "temp1.exe", "temp2.exe", "temp3.exe", "temp4.exe" 등으로 생성되고, 온라인 게임 계정 탈취 및 파밍기능 등의 다양한 형태가 감염되며, 변종도 다수 존재한다.
[temp1.exe]
https://www.virustotal.com/ko/file/f69de47097e4a1ff5d8bb23a850cb262d21f44e12f883519029c78d233ca2b83/analysis/1378440849/
[temp2.exe / svohcst.exe]
https://www.virustotal.com/ko/file/38ef28f07f847d8e2d21981e7c7997aa12f78cdc842dbe4e6c3b553d6871e19a/analysis/1378440880/
[temp3.exe]
https://www.virustotal.com/ko/file/95860ef69357b8867bb4e7ea819c85307be06d88add58b39e0696e7a6fa364b2/analysis/1378440774/
[temp4.exe]
https://www.virustotal.com/ko/file/983ed86afca574f610fef8a118f99082f6ab9a237c021829d1e7cde3dfcd6c4c/analysis/1378440813/
2. 금융결제원 전자인증센터 화면으로 교묘히 위장한 화면 주의
이용자 화면에 출력되는 메시지 내용은 아래와 같고, 혹시 이런 내용을 목격하게 될 경우 가짜 내용이므로 절대 현혹되어 개인정보를 입력하지 말아야 한다.
※경고※ 요즘 빈번하게 발생되고 있는 해커집단의 개인인터넷뱅킹 공격에 의하여 고객님의 개인자산 안전에 큰 위협을 주고 있습니다. 고객님의 개인정보유출이 의심됩니다! 저희는 공인인증센터 금융결제원(yessign)과 손잡고 고객님의 자산을 지켜드리고자 인증후 사용하시길 권장드립니다.
상기 메시지 창은 국내 다수의 유명 사이트에 접속 시 팝업되면서, 이용자들에게 인증이라는 명목으로 개인정보 유출을 시도하게 된다. 이용자가 [확인]버튼을 클릭하게 되면 금융결제원 전자인증센터 내용처럼 조작된 화면을 보여주고, 실제 금융결제원 전자인증센터 웹 사이트를 띄어 이용자들이 신뢰할 수 있도록 조작한다.
실제 금융결제원에서는 이러한 악성파일에 대한 주의 안내를 공식 웹 사이트에서 보여주고 있다.
http://www.yessign.or.kr/main/Main.do
금융결제원을 사칭한 가짜 팝업 창이 출력되는 사이트 들은 다음과 같고, 변종에 따라 변경될 수 있다.
전체 보안카드 번호를 동시에 요구하면 의심을 받기 때문에 1차로 일부 보안카드 번호 입력을 요구하고, [확인]을 누르면 오류가 발생했다는 가짜 메시지 창을 출력하고 추가적인 보안카드 번호 입력을 요구하여, 결국 모든 번호를 획득하게 된다.
3. 피싱(파밍) 사이트 진위여부 판단 노하우
내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.
따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.
2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.
해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.
nProtect AVS 3.0 업데이트 날짜(버전) : 2013-09-04.03
잉카인터넷 대응팀은 2013년 09월 04일 마치 특정 공식 사이트들과 금융결제원이 협력하여 보안서비스를 수행하는 것처럼 위장하고, 개인정보 유출이 의심된다는 허위 메시지 창을 출력하여 이용자들을 현혹시키는 악성파일을 발견하였다. 이 악성파일은 특정 포털 사이트 및 전자상거래 사이트 접속시 팝업되도록 만들어져 있다. 악성파일은 윈도우 경로 하위 임시폴더(Temp)에 "svohcst.exe", "temp1.exe", "temp2.exe", "temp3.exe", "temp4.exe" 등으로 생성되고, 온라인 게임 계정 탈취 및 파밍기능 등의 다양한 형태가 감염되며, 변종도 다수 존재한다.
[temp1.exe]
https://www.virustotal.com/ko/file/f69de47097e4a1ff5d8bb23a850cb262d21f44e12f883519029c78d233ca2b83/analysis/1378440849/
[temp2.exe / svohcst.exe]
https://www.virustotal.com/ko/file/38ef28f07f847d8e2d21981e7c7997aa12f78cdc842dbe4e6c3b553d6871e19a/analysis/1378440880/
[temp3.exe]
https://www.virustotal.com/ko/file/95860ef69357b8867bb4e7ea819c85307be06d88add58b39e0696e7a6fa364b2/analysis/1378440774/
[temp4.exe]
https://www.virustotal.com/ko/file/983ed86afca574f610fef8a118f99082f6ab9a237c021829d1e7cde3dfcd6c4c/analysis/1378440813/
[주의]정상 시스템파일을 이용한 KRBanker 등장
☞ http://erteam.nprotect.com/441
[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장
☞ http://erteam.nprotect.com/441
[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장
[주의]국내 인터넷 뱅킹용 악성파일 포털사이트 접근까지 변조시도
[주의]KRBanker 악성파일 제작자 하데스(Hades)로 귀환?
[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체
[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일
[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)
[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일
[주의]금융 보안프로그램으로 둔갑한 악성파일 출현
[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.
[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.
[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.
[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재
[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!
[주의]KRBanker 변종 시티은행 피싱 목록 추가!
[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹
[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁
[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포
[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱
2. 금융결제원 전자인증센터 화면으로 교묘히 위장한 화면 주의
이용자 화면에 출력되는 메시지 내용은 아래와 같고, 혹시 이런 내용을 목격하게 될 경우 가짜 내용이므로 절대 현혹되어 개인정보를 입력하지 말아야 한다.
※경고※ 요즘 빈번하게 발생되고 있는 해커집단의 개인인터넷뱅킹 공격에 의하여 고객님의 개인자산 안전에 큰 위협을 주고 있습니다. 고객님의 개인정보유출이 의심됩니다! 저희는 공인인증센터 금융결제원(yessign)과 손잡고 고객님의 자산을 지켜드리고자 인증후 사용하시길 권장드립니다.
상기 메시지 창은 국내 다수의 유명 사이트에 접속 시 팝업되면서, 이용자들에게 인증이라는 명목으로 개인정보 유출을 시도하게 된다. 이용자가 [확인]버튼을 클릭하게 되면 금융결제원 전자인증센터 내용처럼 조작된 화면을 보여주고, 실제 금융결제원 전자인증센터 웹 사이트를 띄어 이용자들이 신뢰할 수 있도록 조작한다.
실제 금융결제원에서는 이러한 악성파일에 대한 주의 안내를 공식 웹 사이트에서 보여주고 있다.
http://www.yessign.or.kr/main/Main.do
금융결제원을 사칭한 가짜 팝업 창이 출력되는 사이트 들은 다음과 같고, 변종에 따라 변경될 수 있다.
www.11st.co.kr
www.auction.co.kr
www.daum.net
www.gmarket.co.kr
www.gsshop.com
www.interpark.com
www.itembay.com
www.itemmania.com
www.kbs.co.kr
www.lotte.com
www.nate.com
www.naver.com
이용자가 자신의 인증서를 선택할 경우 아래와 같이 조작된 화면을 통해서 보안카드 번호를 입력하도록 유도한다.
전체 보안카드 번호를 동시에 요구하면 의심을 받기 때문에 1차로 일부 보안카드 번호 입력을 요구하고, [확인]을 누르면 오류가 발생했다는 가짜 메시지 창을 출력하고 추가적인 보안카드 번호 입력을 요구하여, 결국 모든 번호를 획득하게 된다.
3. 피싱(파밍) 사이트 진위여부 판단 노하우
내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.
따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.
2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.
해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.
※ 보안 관리 수칙
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.
2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.
3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.
4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의
※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.
nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.
nProtect AVS 3.0 업데이트 날짜(버전) : 2013-09-04.03
'분석 정보 > 악성코드 분석 정보' 카테고리의 다른 글
| [주의]HWP 악성파일 유포조직 1년 넘게 활동 중인 실체 확인 (2) | 2013.09.13 |
|---|---|
| [주의]구글 크롬 파일로 위장한 악성파일 등장 (0) | 2013.09.10 |
| [주의]외교정책 내용으로 사칭한 악성 HWP 문서파일 발견 (0) | 2013.08.30 |
| [주의]보안 앱 위장 이미지 기반 신종 스미싱 기법 등장 (0) | 2013.08.29 |
| [주의]정상 시스템파일을 이용한 KRBanker 등장 (0) | 2013.08.08 |