[주의]구글 크롬 파일로 위장한 악성파일 등장

1. 구글 크롬 브라우저 파일로 둔갑

잉카인터넷 대응팀은 국내 이용자를 노린 악성파일이 구글 크롬 파일처럼 위장하고 있는 형태를 발견했다. 이 악성파일은 2가지 형태의 크롬 위장 아이콘 리소스를 보유하고 있으며, 파일의 속성 정보에도 구글의 크롬처럼 설명을 포함하고 있다. 이용자들은 아이콘과 파일정보 만으로 정상파일로 오인하지 않도록 주의를 살펴야 할 것으로 보인다.

악성파일은 "css.exe" 파일명으로 국내 특정 웹 사이트를 통해서 유포 중에 있으며, 파일 속성의 정보에는 원본 파일 이름이 "chrome.exe" 이라고 지정되어 있다.

유포지 : h**p://happy***.co.kr/***/css.exe (일부 * 표시)
 

2. 악성파일 감염 동작 정보

악성파일은 "css.exe" 파일명으로 유포 중이며, 보안취약점을 통해서 컴퓨터에 설치된다. 생성되는 경로는 예약작업 설정 폴더라서 일반적인 EXE 파일은 보여지지 않는다.

"C:\WINDOWS\Tasks\csrss.exe"

악성파일은 다음과 같이 구글 크롬 파일처럼 실행되어 작동하며, 특정 사이트로 접속하여 배치파일(BAT) 형식의 호스트파일 변조 명령어를 실행하게 된다. 이 과정을 통해서 특정 금융사의 홈페이지 접속을 IP주소 67.198.154.243 사이트로 변경되도록 조작한다.

http://98.126.96.213:8888/ip.txt 사이트 접속하여 해당 사이트에 존재하는 내용을 "Changer.bat" 파일명으로 생성하고 실행한다. 이 명령을 통해서 "hosts.ics" 파일이 작동된다.

변조된 "hosts.ics" 파일에 의해서 이용자가 특정 웹 사이트에 접속시 가짜로 조작된 사이트에 강제로 접속돼고, 이용자가 원하지 않는 개인정보를 요구하는 화면을 접하게 된다. 만약 해당 사이트에 개인정보를 입력하게 될 경우 예기치 못한 피해를 입을 수 있으므로, 절대로 입력해서는 안된다. 

[주의]금융결제원(YESSIGN) 내용으로 사칭한 악성파일 등장
☞ http://erteam.nprotect.com/444

[주의]정상 시스템파일을 이용한 KRBanker 등장
☞ http://erteam.nprotect.com/441

[주의]소켓통신(WinSock)을 가로채기하는 전자금융사기 수법 추가 등장

☞ http://erteam.nprotect.com/434

[주의]국내 인터넷 뱅킹용 악성파일 포털사이트 접근까지 변조시도

☞ http://erteam.nprotect.com/421

[주의]KRBanker 악성파일 제작자 하데스(Hades)로 귀환?

☞ http://erteam.nprotect.com/390

[추적]FTP서버로 공인인증서를 탈취하는 악성파일 실체

☞ http://erteam.nprotect.com/385

[주의]실제 공인인증서 서비스에서 암호 탈취를 시도하는 악성파일

☞ http://erteam.nprotect.com/383

[주의]OTP 이벤트로 위장한 전자금융사기용 악성파일(KRBanker)

☞ http://erteam.nprotect.com/381

[주의]안랩 프로그램 사칭 인터넷 뱅킹용 악성파일

☞ http://erteam.nprotect.com/380

[주의]금융 보안프로그램으로 둔갑한 악성파일 출현

☞ http://erteam.nprotect.com/379

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장

☞ http://erteam.nprotect.com/378

[칼럼]특명! 사이버 은행강도로부터 당신의 금융자산을 보호하라.

☞ http://erteam.nprotect.com/374

[주의]금융자산예방서비스 사칭! 믿는도끼에 발등 찍힌다.

☞ http://erteam.nprotect.com/373

[주의]무료 동영상에 숨겨진 검은 그림자, 당신의 예금을 노린다.

☞ http://erteam.nprotect.com/371

[위험]전자금융사기용 악성파일(KRBanker) 시스템 파괴 기능 탑재

☞ http://erteam.nprotect.com/370

[긴급]KRBanker 새로운 변종 애플 아이콘으로 위장!

☞ http://erteam.nprotect.com/366

[주의]KRBanker 변종 시티은행 피싱 목록 추가!

☞ http://erteam.nprotect.com/365

[긴급]KRBanker 전자금융사기용 허위 예방 서비스로 사용자 유혹

☞ http://erteam.nprotect.com/347

[정보]보안승급 사칭 전자금융사기 기승, 사이버 금융범죄와의 전쟁

☞ http://erteam.nprotect.com/344

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!

☞ http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥

☞ http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫

☞ http://erteam.nprotect.com/339

[긴급]국내 인터넷뱅킹 사용자를 노린 악성파일 급속 유포

☞ http://erteam.nprotect.com/293

[주의]국내 인터넷 뱅킹 보안승급서비스 사칭한 스마트폰 문자피싱

☞ http://erteam.nprotect.com/258

3. 피싱(파밍) 사이트 진위여부 판단 노하우 

내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.

 
2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의

※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/

nProtect AVS 3.0 업데이트 날짜(버전) : 2013-09-10.01